WhatsApp et Telegram corrigent une importante faille de sécurité

WhatsApp et Telegram ont corrigé une faille de sécurité sur les versions Web de leurs applications. Le 8 mars dernier, la société Check Point a alerté les deux entreprises de messagerie de l'existence d'une vulnérabilité permettant à des pirates de prendre le contrôle de comptes grâce à un simple fichier photo. Une fois l'image ouverte sur le navigateur Web, un programme masqué pouvait s'exécuter et accéder à l'historique des messages, l'ensemble des documents échangés ou encore à la liste des contacts d'un utilisateur.

Interrogé par l'agence Reuters, Telegram a relativisé ces informations en affirmant que la faille ne pouvait être activée qu'avec un comportement «très inhabituel» d'un utilisateur. Selon elle, il n'y a aucune preuve d'une attaque par ce biais. Anne Yeh, porte-parole de Facebook, a pour sa part affirmé que la faille avait été corrigée en moins d'un jour une fois l'information de Check Point reçue. Pour les utilisateurs des deux applications sur le Web, il suffit de recharger la page pour se prémunir de ce risque.

Whatsapp compte 1 milliard d'utilisateurs, ce qui en fait la messagerie la plus utilisée au monde. Plus petit, Telegram en dénombre 100 millions. Néanmoins, la faille ne concerne pas l'ensemble de ces utilisateurs, mais seulement ceux qui utilisent ces applications via un navigateur Web, une option qui est beaucoup moins répandue que le mobile. Il n'existe aucun moyen de savoir si la vulnérabilité a bien été découverte et utilisée par des individus mal intentionnés, selon Check Point. Les deux applications revendiquent la sécurité de leur service, notamment grâce au chiffrement des communications, qui rend illisibles les messages pour toute personne n'étant pas leur expéditeur ou leur destinataire. Telegram provoque néanmoins le scepticisme de nombreux spécialistes en cybersécurité, qui l'accusent de ne pas assez protéger ses utilisateurs.

Une banale utilisation de fichiers corrompus

Même cantonnée à la version Web de ces deux services, la faille découverte par Check Point reste significative . «Cette faille est très sérieuse et révèle un problème de sécurité récurrent du côté des applications Web, mais pas du chiffrement [un procédé de cryptographie utilisé pour protéger les communications, NDLR]», note Nadim Kobeissi, directeur de Symbolic Software, une entreprise de recherche en cryptographie appliquée. Même avis du côté de Kenneth White, chercheur en cybérsécurité et directeur de l'Open Crypto Audit Project: «La plupart des experts en sécurité s'accordent à dire que les applications de messagerie sont bien plus sûres sur leurs versions originelles, c'est-à-dire mobiles, que sur leurs versions dans des navigateurs Web», souligne-t-il. «Cette faille n'a au final rien à voir avec le chiffrement, il s'agit simplement d'une utilisation malveillante de fichiers corrompus.»

Le piratage procède de la même manière qu'une pièce jointe dans un mail peut contenir du code malveillant caché dans le fichier. «Dans le cas de WhatsApp et Telegram, le pirate devait utiliser le compte de quelqu'un que la victime connaît bien pour la convaincre de cliquer sur l'image», précise Kenneth White. Pour Telegram, c'est encore plus compliqué: la victime devait explicitement demander d'ouvrir la pièce jointe dans un nouvel onglet pour que la faille fonctionne».