Vérifiez l’action que vous autorisez, pas seulement l’apparence du code.
Un message affirme que vous devez scanner un QR code pour rejoindre un groupe privé ou garder votre compte actif. L’écran suivant vous demande de lier un appareil. Il s’agit de deux actions différentes. Arrêtez-vous avant de valider : un véritable mécanisme de liaison de compte peut aussi être utilisé à des fins malhonnêtes.
Le chiffrement de bout en bout protège les messages entre les appareils participants. Il ne peut pas déterminer si vous souhaitiez réellement ajouter l’appareil qui les reçoit désormais. Ce guide explique comment distinguer un lien web, une demande de liaison d’appareil et un code de vérification de contact, ainsi que les points à contrôler si vous avez déjà agi.
Deux pièges différents avec les QR codes
Un faux site web : un code ouvre une page qui imite un service connu et vous demande un mot de passe ou d’autres renseignements sensibles. La Federal Trade Commission américaine (FTC) met en garde contre les QR codes reçus dans des messages inattendus. Elle recommande de vérifier les destinations et de contacter l’expéditeur supposé par un canal connu plutôt que de suivre le message. Un logo familier ne prouve pas qui exploite la page. Conseils de la FTC sur les arnaques par QR code.
Un appareil lié indésirable : l’attaquant vous persuade de connecter son ordinateur ou un autre appareil à votre compte de messagerie. Il peut ainsi détourner une fonction légitime sans casser le chiffrement. Google Threat Intelligence a documenté des attaques contre la liaison d’appareils de Signal, déguisées en invitations à des groupes et en alertes de sécurité. Dans les attaques observées, une liaison réussie permettait aux futurs messages d’arriver sur un appareil contrôlé par l’attaquant. Enquête de Google sur le hameçonnage par liaison d’appareils.
La distinction est importante. Changer de mot de passe ne remplace pas la vérification des appareils liés. À l’inverse, simplement pointer un appareil photo sur un code ne prouve pas qu’un compte a été compromis. Déterminez quelle page s’est ouverte, quelles informations vous avez fournies et quelle action vous avez autorisée.
Trois codes qui se ressemblent, trois usages différents
| Code ou écran | Usage prévu | Question à se poser avant de continuer |
|---|---|---|
| QR code de site web | Ouvrir une adresse | Est-ce la destination que j’attendais, indépendamment de ce message ? |
| QR code de liaison d’appareil | Autoriser un autre appareil | Est-ce mon appareil, et ai-je moi-même lancé la liaison ? |
| QR code de vérification de contact | Comparer des informations d’identité cryptographique | Suis-je dans l’écran de vérification du contact, et est-ce la bonne personne avec qui comparer ? |
Signal décrit par exemple une procédure dédiée passant par les paramètres des appareils associés et l’appareil photo intégré à l’application. Ses instructions actuelles proposent également un choix concernant le transfert de l’historique des messages. Ce n’est pas la même opération que vérifier le numéro de sécurité d’un contact. Instructions de Signal sur les appareils associés.
La documentation de Signal sur les numéros de sécurité explique comment comparer les numéros ou scanner le QR code de vérification du contact, idéalement en personne. Cette comparaison aide à vérifier l’identité cryptographique de la conversation ; elle ne prouve pas à elle seule l’identité réelle d’une personne. Ce n’est pas une invitation à accorder à un nouvel ordinateur l’accès à votre compte. Fiez-vous à la fonction de l’écran réellement affiché, et non à la description de l’expéditeur. Explication des numéros de sécurité par Signal.
Un exemple pratique : l’invitation qui change de sens
Imaginons cette situation fictive. Mina reçoit un message apparemment envoyé par un collègue : « Le groupe du projet a déménagé. Scanne ceci pour le rejoindre à nouveau. » La page semble soignée. Elle lui demande d’ouvrir le scanner de liaison d’appareils de sa messagerie.
Mina remarque le décalage : elle voulait rejoindre une conversation, pas connecter un autre ordinateur. Elle annule, ouvre elle-même la fiche habituelle de son contact et vérifie auprès du collègue par un autre canal de confiance. Elle n’utilise pas le numéro de téléphone indiqué sur la page suspecte.
Cet exemple illustre une règle utile : si l’autorisation demandée par l’application dépasse votre objectif ou correspond à une autre tâche, arrêtez-vous. Un compte expéditeur connu ne suffit pas, car les comptes peuvent être imités ou compromis. Une adresse web rassurante ne permet pas non plus, à elle seule, d’expliquer pourquoi un appareil inattendu aurait besoin d’un accès.
Une courte liste de vérifications avant de valider
- Définissez votre tâche. Souhaitez-vous ouvrir une page, rejoindre un groupe, vérifier un contact ou lier votre propre ordinateur ?
- Commencez par vous-même. Pour gérer votre compte, ouvrez l’application installée ou une destination déjà connue, au lieu de suivre les instructions d’un message non sollicité.
- Lisez la demande de l’application. Considérez la liaison d’appareil, la récupération du compte et la saisie d’identifiants comme des décisions distinctes. Annulez toute demande qui ne correspond pas à votre tâche.
- Identifiez l’autre appareil. Ne liez que du matériel que vous aviez l’intention d’utiliser et que vous contrôlez. Un nom d’appareil sympathique ne prouve pas à qui il appartient.
- Ne divulguez pas vos secrets dans les conversations. N’envoyez ni mots de passe, ni codes d’inscription, ni clés de récupération à quelqu’un qui prétend vous aider.
- Utilisez des logiciels à jour. Les mises à jour et les avertissements intégrés comptent, mais ne rendent pas digne de confiance une demande d’autorisation inattendue.
Les conseils de Signal contre le hameçonnage recommandent une vérification indépendante, la confidentialité des codes et la prudence face aux demandes inattendues. Ils distinguent également ses annonces officielles, consultables uniquement, d’un interlocuteur qui se fait passer pour l’assistance. Ces détails concernent Signal ; ils ne décrivent pas le système d’assistance de toutes les messageries. Conseils de Signal contre le hameçonnage et l’usurpation d’identité.
Si vous avez déjà scanné ou autorisé
Partez de l’action qui a réellement eu lieu :
- Vous avez seulement ouvert une page : fermez-la et cessez toute interaction. Vérifiez si vous avez saisi des informations, téléchargé quelque chose ou autorisé une action dans une application. Le seul scan ne permet de conclure ni à une compromission ni à l’absence de risque.
- Vous avez saisi des identifiants ou partagé un code : suivez les instructions officielles de récupération du service depuis un appareil de confiance. Modifiez les mots de passe exposés et examinez les accès au compte ; traitez séparément les mots de passe réutilisés ailleurs.
- Vous avez lié un appareil inconnu : ouvrez la véritable liste des appareils ou des sessions dans l’application et supprimez la connexion indésirable. Ne supposez pas que supprimer le message frauduleux révoque l’accès.
- Vous avez installé un logiciel ou accordé des autorisations inhabituelles : examinez cela séparément. Révoquer une session du compte ne supprime pas à lui seul un logiciel malveillant du téléphone.
Pour Signal en particulier, les conseils de protection recommandent d’examiner les appareils associés, de supprimer les entrées inconnues et, en cas de doute, de supprimer tous les appareils de la liste. Les instructions de dissociation indiquent comment révoquer un appareil depuis le téléphone principal. D’autres services peuvent utiliser des commandes différentes. Conseils de Signal pour protéger son compte, Instructions de Signal pour dissocier des appareils.
La révocation ne peut pas récupérer des informations déjà copiées ailleurs. L’exposition dépend du service, des autorisations accordées, du choix éventuel de transférer l’historique et de la durée de l’accès, et non d’une règle universelle portant sur « toutes les conversations ». Si des échanges sensibles ont pu être exposés, prévenez les personnes concernées par un canal de confiance et suivez toute procédure applicable de signalement d’incident.
Que vérifier pour évaluer Livara ou une autre messagerie ?
Demandez comment les nouveaux appareils sont autorisés, où les sessions actives sont affichées, comment l’accès est révoqué et si l’historique est transféré séparément. Consultez la documentation actuelle du produit, au lieu de supposer qu’une mention de chiffrement répond à ces questions. Cet article n’établit pas que Livara utilise une connexion par QR code ou une procédure particulière de liaison d’appareils.
La conclusion pratique est simple : vérifiez l’action que vous autorisez, pas seulement l’apparence du code.
