5 min de lecture<\/p>\n
La pr\u00e9sidente du Bundestag Julia Kl\u00f6ckner, la ministre de l’\u00c9ducation Karin Prien et la ministre de la Construction Verena Hubertz ont \u00e9t\u00e9 compromises par le phishing via Signal, car elles ont transmis un code de v\u00e9rification \u00e0 un contact suppos\u00e9 fiable. L’attaque d’usurpation de compte via Messenger n’a pas consist\u00e9 en un simple clic sur un lien classique. Le procureur g\u00e9n\u00e9ral Jens Rommel m\u00e8ne une enqu\u00eate depuis f\u00e9vrier pour suspicion d’espionnage. Patrick Graichen, ancien secr\u00e9taire d’\u00c9tat charg\u00e9 des infrastructures critiques, a publi\u00e9 parall\u00e8lement sur X un escroquerie bas\u00e9e sur l’\u00e9change d’argent contre des likes et a faussement accus\u00e9 Ulf Poschardt, r\u00e9dacteur en chef de Welt, de commercialisation de livres. Des vecteurs diff\u00e9rents, mais une m\u00eame le\u00e7on de gestion : la sensibilisation est mal plac\u00e9e au niveau strat\u00e9gique.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Qu’est-ce que le vol de codes de v\u00e9rification ?<\/strong> Lors d’une usurpation de compte via Signal ou WhatsApp, un attaquant enregistre le compte sur un appareil \u00e9tranger. Le messager envoie alors un code de confirmation \u00e0 six chiffres par SMS au v\u00e9ritable propri\u00e9taire. Quiconque transmet ce code \u00e0 un contact suppos\u00e9 fiable c\u00e8de ainsi son compte. Protection : une authentification \u00e0 deux facteurs configur\u00e9e dans les param\u00e8tres de Signal emp\u00eache l’usurpation m\u00eame si le code est intercept\u00e9.<\/p>\n La vague Signal est en cours depuis f\u00e9vrier 2026. Selon les sources s\u00e9curitaires, environ 300 comptes sont concern\u00e9s en Allemagne, avec d\u2019autres cibles aux Pays-Bas. Le vecteur utilis\u00e9 par ces trois femmes politiques est identique : une adresse de contact bien connue demande, via message direct, le code de v\u00e9rification \u00e0 6 chiffres qui lui a \u00e9t\u00e9 envoy\u00e9 par SMS. Celui qui transmet ce code passe alors le contr\u00f4le d\u2019acc\u00e8s au compte. Kl\u00f6ckner a \u00e9t\u00e9 mise en cause publiquement mercredi, Prien et Hubertz ont \u00e9t\u00e9 impliqu\u00e9es vendredi<\/a>, dans le cadre des m\u00eames enqu\u00eates.<\/p>\n Le procureur g\u00e9n\u00e9ral Jens Rommel a ouvert une enqu\u00eate d\u00e8s f\u00e9vrier 2026 pour suspicion d\u2019activit\u00e9 d\u2019espionnage. Le BSI et l\u2019Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 de l\u2019\u00c9tat situent l\u2019acteur dans le cadre d\u2019un programme d\u2019espionnage contr\u00f4l\u00e9 par l\u2019\u00c9tat. Roderich Henrichmann, membre du Comit\u00e9 de contr\u00f4le parlementaire, a publiquement d\u00e9sign\u00e9 la Russie comme source probable. Une attribution technique reste \u00e0 confirmer, selon les informations disponibles au 28 avril 2026.<\/p>\n Le incident Graichen<\/a> suit un autre sch\u00e9ma : une fausse accusation publique apr\u00e8s la d\u00e9tection d\u2019une escroquerie, sans compromission du compte. L\u2019auteur avait captur\u00e9 une conversation dans un groupe WhatsApp o\u00f9 des sommes d\u2019argent \u00e9taient promises pour des likes sur les comptes d\u2019influenceurs, et il avait r\u00e9uni le r\u00e9dacteur en chef mondial Ulf Poschardt, pensant que celui-ci \u00e9tait derri\u00e8re cette demande. Ce m\u00e9canisme est depuis des ann\u00e9es une \u00e9tape incontournable dans chaque formation de sensibilisation : pr\u00e9fixe \u00e9tranger, micro-r\u00e9mun\u00e9ration, escalade progressive vers le paiement anticip\u00e9 ou les donn\u00e9es de compte. Graichen a \u00e9t\u00e9 responsable pendant des ann\u00e9es de l\u2019infrastructure critique et de l\u2019approvisionnement \u00e9nerg\u00e9tique. La cl\u00e9 de vo\u00fbte de la vague Signal ne se trouve pas dans le vecteur, mais dans le r\u00e9flexe : rapide, mobile, sans contr\u00f4le interm\u00e9diaire.<\/p>\n Trois m\u00e9canismes expliquent ce constat. Au niveau C, la bo\u00eete de r\u00e9ception est trait\u00e9e en intervalles de 30 secondes entre deux rendez-vous. Les formations de sensibilisation sont con\u00e7ues pour une attention de 25 minutes, qui n\u2019existe pas dans ce contexte. Le pr\u00e9-filtre mis en place par les employ\u00e9s d\u2019Office dispara\u00eet d\u00e8s qu\u2019une nouvelle arrive sur le smartphone personnel. C\u2019est pr\u00e9cis\u00e9ment l\u00e0 que Signal, WhatsApp et une part croissante des discussions quotidiennes politiques se d\u00e9roulent. Ceux qui prennent un caf\u00e9 avec la chanceli\u00e8re per\u00e7oivent inconsciemment le ph\u00e9nom\u00e8ne des scams courants comme un probl\u00e8me relevant de niveaux hi\u00e9rarchiques plus bas.<\/p>\n Les \u00e9quipes de s\u00e9curit\u00e9 ressentent depuis des ann\u00e9es les cons\u00e9quences op\u00e9rationnelles de cette situation. Dans les tests internes de sensibilisation, les comptes de haut niveau sont rarement mieux prot\u00e9g\u00e9s que la moyenne de l\u2019effectif, et dans certaines industries, ils sont m\u00eame significativement moins prot\u00e9g\u00e9s. La pression de la communication, les canaux mobiles et les mod\u00e8les de d\u00e9l\u00e9gation augmentent le risque ; le bonus d\u2019exp\u00e9rience ne suffit pas \u00e0 compenser cela. En revanche, la r\u00e9alit\u00e9 des achats va dans le sens inverse : les budgets destin\u00e9s \u00e0 la sensibilisation sont d\u00e9sormais consacr\u00e9s \u00e0 des formations en ligne obligatoires pour l\u2019ensemble de l\u2019effectif, car elles sont conformes aux exigences r\u00e9glementaires. Les comptes co\u00fbteux, qui acc\u00e8dent \u00e0 des documents strat\u00e9giques, \u00e0 des entretiens d\u2019appel et \u00e0 des propositions de cabinet, restent dans le m\u00eame module standardis\u00e9.<\/p>\n La protection au niveau sup\u00e9rieur n\u00e9cessite trois niveaux. La technologie s\u00e9curise le compte, le processus g\u00e8re les appels interm\u00e9diaires, et le comportement entra\u00eene le r\u00e9flexe. Si l\u2019on ne prend qu\u2019un seul niveau, on d\u00e9place le risque plut\u00f4t que de le r\u00e9duire.<\/p>\n Le PIN \u00e0 deux facteurs pour Signal et WhatsApp est obligatoire pour les comptes des 50 premiers utilisateurs, tout comme la liste des appareils associ\u00e9s dans les param\u00e8tres du compte. Une routine de v\u00e9rification des sessions, men\u00e9e chaque mois avec l\u2019\u00e9quipe d\u2019Office, permet de v\u00e9rifier quelles terminales sont actuellement connect\u00e9es au compte. Si l\u2019on d\u00e9couvre une entr\u00e9e inconnue, c\u2019est le premier indicateur avant toute notification officielle. Les profils MDM install\u00e9s sur les smartphones professionnels permettent de d\u00e9tecter et de supprimer les configurations de messagerie risqu\u00e9es avant qu\u2019elles ne deviennent un incident.<\/p>\n Le code de v\u00e9rification n\u2019est pas transmis par messagerie, ni \u00e0 personne, m\u00eame pas \u00e0 sa propre assistante ou au porte-parole de la presse. Toute personne qui pose une question est v\u00e9rifi\u00e9e via un rappel \u00e0 un num\u00e9ro connu. D\u00e8s qu\u2019un membre du conseil d\u2019administration commente un incident de s\u00e9curit\u00e9 sur un compte priv\u00e9 sur X ou LinkedIn, ou accuse une personne \u00e9trang\u00e8re, l\u2019affaire est soumise \u00e0 la communication d\u2019entreprise avant d\u2019\u00eatre publi\u00e9e. Le principe des quatre yeux, appliqu\u00e9 sur les canaux priv\u00e9s, est organisationnellement inconfortable, mais, lorsqu\u2019il s\u2019agit de port\u00e9e r\u00e9elle, c\u2019est la seule assurance contre les accusations erron\u00e9es ayant une influence sur la presse.<\/p>\n Sensibiliser le conseil d\u2019administration, le conseil de surveillance, les organes l\u00e9galement repr\u00e9sentatifs ainsi que leurs assistants directs. Un coaching individuel chaque trimestre, assur\u00e9 par un pentester externe avec une d\u00e9monstration en direct du vecteur d\u2019attaque actuel sur un deuxi\u00e8me smartphone. Dur\u00e9e : 60 minutes ; contenus d\u00e9finis \u00e0 l\u2019avance en fonction de la situation actuelle du BSI. Co\u00fbts pr\u00e9visibles, impact documentable lors de l\u2019audit, argumentaire de conformit\u00e9 solide. Le coaching sans technologie ni processus reste un sujet de discussion \u2013 telle est la le\u00e7on tir\u00e9e des trois politiciennes.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Les attaquants ont contact\u00e9 les cibles \u00e0 partir d\u2019un carnet d\u2019adresses connu et ont demand\u00e9 le code de v\u00e9rification \u00e0 six chiffres envoy\u00e9 par SMS lors d\u2019une nouvelle inscription sur un appareil \u00e9tranger. Quiconque a transmis ce code a effectivement remis le compte. Une authentification \u00e0 deux facteurs via une PIN dans les param\u00e8tres de Signal emp\u00eache pr\u00e9cis\u00e9ment cette intrusion, car la connexion n\u00e9cessite \u00e9galement la PIN choisie par l\u2019utilisateur.<\/p>\n<\/details>\n Le procureur f\u00e9d\u00e9ral Jens Rommel m\u00e8ne depuis f\u00e9vrier 2026 une enqu\u00eate pour suspicion d\u2019espionnage. Le BSI et l\u2019Office f\u00e9d\u00e9ral de la protection de la Constitution classent l\u2019auteur comme probablement soutenu par un \u00c9tat. Roderich Henrichmann (PKGr) a d\u00e9sign\u00e9 la Russie comme source probable. \u00c0 ce jour, le 28 avril 2026, aucune attribution technique officielle n\u2019a \u00e9t\u00e9 rendue par le Parquet f\u00e9d\u00e9ral.<\/p>\n<\/details>\n Le tweet contenait une capture d\u2019\u00e9cran d\u2019une arnaque classique \u00ab argent contre likes \u00bb ainsi qu\u2019une accusation mensong\u00e8re \u00e0 l\u2019encontre du r\u00e9dacteur en chef mondial Ulf Poschardt. Le vecteur technique diff\u00e8re de celui de la vague Signal ; le compte n\u2019\u00e9tait pas compromis. Ce qui unit ces deux cas, c\u2019est leur structure r\u00e9flexe : rapide, mobile, sans contr\u00f4le par un second regard. La cons\u00e9quence en termes de r\u00e9putation des prises de position publiques pr\u00e9cipit\u00e9es, sans pr\u00e9sence de service de presse, constitue la le\u00e7on pour la gestion.<\/p>\n<\/details>\n Premi\u00e8rement, activer la fonction de PIN \u00e0 deux facteurs sur Signal et WhatsApp. Deuxi\u00e8mement, rompre le r\u00e9flexe de transmettre des codes via les messageries instantan\u00e9es. Troisi\u00e8mement, v\u00e9rifier toute communication directe inhabituelle en rappelant un num\u00e9ro connu, et jamais en r\u00e9pondant au canal initial.<\/p>\n<\/details>\n Consid\u00e9rer les 50 comptes prioritaires comme une cat\u00e9gorie d\u2019acquisition propre, avec un coaching individuel chaque trimestre et des d\u00e9monstrations en direct des vecteurs d\u2019attaque actuels. Les formations obligatoires en ligne pour l\u2019ensemble du personnel restent pertinentes, mais ne remplacent pas une protection cibl\u00e9e des comptes ayant acc\u00e8s strat\u00e9gique ou \u00e0 des appels d\u2019offres. Technologie et processus doivent avancer de pair ; autrement, le coaching demeurera sans effet.<\/p>\n<\/details>\n Plus d\u2019informations du r\u00e9seau MBF Media<\/p>\n\n
Ce qui s\u2019est pass\u00e9 en avril<\/h2>\n
Pourquoi la sensibilisation devient-elle moins efficace ?<\/h2>\n
Ce que les CISO doivent changer maintenant<\/h2>\n
Technologie : renforcer la s\u00e9curit\u00e9 des comptes au niveau des appareils<\/h3>\n
Processus : r\u00e8gles de rappel et escalade aupr\u00e8s des services de presse<\/h3>\n
Comportement : Coaching des 50 premiers comptes en tant qu\u2019acquisition interne<\/h3>\n
Questions fr\u00e9quentes<\/h2>\n
Quel \u00e9tait le vecteur d\u2019attaque lors de la vague Signal ?<\/strong><\/summary>\n
Qui se cache derri\u00e8re ces attaques ?<\/strong><\/summary>\n
Pourquoi le tweet de Graichen a-t-il constitu\u00e9 un incident de s\u00e9curit\u00e9 ?<\/strong><\/summary>\n
Quelle mesure imm\u00e9diate recommander aux membres du conseil d\u2019administration ?<\/strong><\/summary>\n
Comment les CISO devraient-ils revoir leurs budgets de sensibilisation ?<\/strong><\/summary>\n
Recommandations de lecture de la r\u00e9daction<\/h3>\n
\n