WhatsApp et Signal livrent votre routine quotidienne à qui a votre numéro

Vos messages dans WhatsApp et Signal sont chiffrés et personne en dehors de la conversation ne les lit. Cette partie tient. Ce qui fuit malgré tout, c'est la petite coche grise qui signale la réception : elle revient à une vitesse mesurable, et cette vitesse indique si votre écran est allumé, si vous êtes en Wi-Fi ou en données mobiles, combien d'appareils vous utilisez et à quelle heure vous vous couchez. N'importe qui connaissant votre numéro peut la collecter, et vous ne recevez aucune notification.

Comment une coche devient un traceur

Des chercheurs de l'université de Vienne et de SBA Research ont décrit le mécanisme dans un article intitulé Careless Whisper. Il tient en quatre lignes.

1. L'attaquant envoie à votre numéro un message que l'application traite mais n'affiche jamais, par exemple une réaction pointant vers un identifiant de message inexistant.
2. Votre téléphone le déchiffre, constate qu'il n'y a rien à montrer, et renvoie quand même consciencieusement un accusé de réception.
3. L'attaquant mesure le temps mis par cet accusé pour revenir.
4. Répété plusieurs fois par seconde, le relevé des délais dessine la courbe de votre journée.

Rien n'apparaît sur votre écran : pas de notification, pas de nouvelle conversation, pas de compteur de non-lus. L'article compare le procédé au SMS silencieux, la technique employée par la police pour localiser un appareil à l'insu de son propriétaire.

Ce que les délais laissent voir

Un téléphone dont l'écran est allumé répond plus vite que le même appareil posé face contre table. En Wi-Fi, la réponse diffère de celle obtenue en données mobiles. Un client de bureau qui vient de se connecter répond de son côté. À partir de là, les chercheurs ont reconstitué le temps d'écran à la seconde près, des routines de travail, des trajets, ainsi que le nombre d'appareils connectés au compte et le système d'exploitation de chacun.

Le même canal fonctionne aussi comme arme, pas seulement comme capteur. Les messages de sondage pouvant transporter n'importe quelle charge utile, l'équipe a mesuré ce qui se passe quand on en envoie de gros en continu.

Chez Signal, le tableau est plus doux. Les rafales courtes passent, mais plusieurs messages par seconde butent sur des limites, et l'équipe n'a pas réussi à vider sensiblement la batterie d'un téléphone de test. Le canal auxiliaire de suivi y existe malgré tout ; l'épuisement des ressources, non.

Threema s'est comportée autrement

Trois messageries ont été testées. Threema traite les accusés de manière assez stricte pour que le sondage silencieux ne fonctionne pas : un inconnu ne peut déclencher quoi que ce soit qu'en envoyant un message texte ordinaire et en ouvrant une conversation visible, soit l'inverse de la discrétion. Le point compte, car il montre qu'il s'agit d'un choix de conception et non d'une loi de la physique. WhatsApp et Signal répondent aux inconnus par défaut, Threema non.

Ce qu'ont fait les éditeurs

1. 5 septembre 2024Les chercheurs signalent leurs résultats aux contacts sécurité de Meta et de la Signal Foundation.
2. 24 septembre 2024Meta accuse réception et indique que le rapport est transmis à l'équipe de développement. Aucune réponse de fond ne suit.
3. 8 août 2025Près d'un an plus tard, Meta indique de nouveau que le rapport a été transmis à l'ingénierie.
4. SignalAucune réponse, selon l'article.

L'article énumère les correctifs qui refermeraient la brèche : cesser d'envoyer des accusés aux numéros avec lesquels aucune conversation n'existe, laisser les utilisateurs soucieux de vie privée désactiver l'envoi instantané, ajouter un peu d'aléa aux délais, et vérifier les identifiants de message référencés au lieu d'acquitter n'importe quoi. Aucun n'a été livré sous forme de modification du protocole. En décembre 2025, quelqu'un a publié sur GitHub une démonstration fonctionnelle qui transforme la technique en tableau de bord, et c'est par là que la plupart des gens en ont entendu parler. Le comportement de fond n'a pas changé depuis.

Le point faible, c'est le numéro

Chaque variante de cette attaque commence pareil : l'attaquant saisit un numéro de téléphone. C'est aussi la conclusion d'une seconde étude de la même équipe viennoise, présentée à NDSS 2026 : le mécanisme de découverte de contacts de WhatsApp acceptait plus de 100 millions de requêtes par heure et a confirmé 3,5 milliards de comptes actifs dans 245 pays. Meta a depuis corrigé ce point. La leçon survit au correctif : sur les deux plateformes, votre numéro est à la fois l'adresse, l'identifiant de connexion et la clé de recherche.

Ce que vous pouvez faire dès maintenant

Dans cette liste, la mesure qui vaut vraiment l'effort, ce sont les noms d'utilisateur. Ils ne réparent pas le canal auxiliaire, mais ils retirent à l'attaque ce sans quoi elle ne démarre pas. Si personne hors de vos contacts ne peut vous joindre par numéro, personne hors de vos contacts ne peut vous sonder non plus.