WhatsApp Stocke Vos Conversations en Clair sur macOS et iOS

Pourquoi Toutes les Apps Meta Peuvent Lire Vos Conversations

Voici le point qui devrait inquiéter tout utilisateur de l'écosystème Meta : tous les développeurs déclarent leurs apps sous une même identité auprès d'Apple. Cela signifie que Facebook, Instagram, Threads et WhatsApp partagent les mêmes permissions de groupe sur votre iPhone ou votre Mac.

En théorie technique :

• Facebook installé sur votre iPhone peut accéder au conteneur partagé de WhatsApp

• Instagram peut lire l'intégralité de votre base SQLite WhatsApp

• Aucune notification n'est envoyée à l'utilisateur quand cela se produit

• Aucune permission supplémentaire n'est demandée

Et techniquement, rien de tout cela ne viole les règles d'Apple. Le modèle de sandboxing iOS autorise explicitement ce type de partage entre applications du même développeur. C'est précisément à ça que servent les "shared app groups".

Mysk a publié une démonstration vidéo prouvant qu'une application Meta peut lire le fichier WhatsApp en plaintext sans intervention de l'utilisateur. Aucune exploitation, aucun hack — juste l'utilisation normale d'une API documentée par Apple.

Les Vraies Implications de Sécurité

À ce stade, vous vous dites peut-être : "OK, mais Meta ne va pas espionner ses propres utilisateurs via Facebook, ce serait un scandale." C'est probablement vrai. Mais le risque ne se limite pas à un comportement malveillant délibéré de Meta.

1. Compromission par une seule application Meta

Si Facebook, Instagram ou Threads sont un jour compromis via une vulnérabilité, une supply chain attack sur une dépendance, ou une fuite de credentials de développeur les attaquants n'ont plus besoin de cibler WhatsApp directement. Ils accèdent aux conversations WhatsApp via n'importe laquelle des autres apps Meta.

2. Extraction forensique simplifiée

Pour les autorités, les enquêteurs, ou les acteurs malveillants ayant un accès physique à un appareil déverrouillé (ou jailbreaké), le travail devient trivial. Plus besoin de techniques de décryptage sophistiquées : il suffit de copier le fichier Axolotl.sqlite et de l'ouvrir avec n'importe quel client SQLite gratuit. Vos années de conversations privées en deux commandes.

3. Menaces internes (insider threats)

Tout ingénieur de Meta ayant accès à du code qui s'exécute dans une app Meta du même groupe (legitimement ou via une porte dérobée non détectée) a techniquement la capacité de lire les WhatsApp de centaines de millions d'utilisateurs.

4. Risque accru sur macOS

Sur macOS, le système de fichiers est nettement plus accessible que sur iOS. Si les contrôles endpoint sont faibles ce qui est la norme sur les Mac personnels un malware ou un script non privilégié peut accéder à Axolotl.sqlite sans aucune restriction. Pour les professionnels qui utilisent WhatsApp Desktop sur leur Mac de travail, c'est une vraie surface d'attaque.

Le Faux Filet de Sécurité d'Apple Data Protection

Apple propose un framework appelé Data Protection qui chiffre les fichiers en fonction de l'état de l'appareil. Quand votre iPhone est verrouillé par exemple, certains fichiers deviennent inaccessibles jusqu'au prochain déverrouillage. C'est une excellente protection... contre le vol physique.

Mais Data Protection ne protège absolument pas contre l'accès depuis une application autorisée s'exécutant sur le même appareil. Quand vous utilisez votre téléphone normalement déverrouillé, avec Facebook ouvert en arrière-plan toutes les protections de Data Protection sont effectivement neutralisées pour ce scénario.

Le filet de sécurité existe. Il ne couvre simplement pas le bon scénario de menace.

Comment Vous Protéger Concrètement

Les mitigations existent, mais elles demandent un changement d'habitudes. Voici ce qui fonctionne vraiment, par ordre d'efficacité :

Désinstaller les autres apps Meta

C'est radical, mais c'est la seule mitigation technique réellement efficace contre la lecture cross-app. Si Facebook, Instagram et Threads ne sont pas installés sur votre appareil, ils ne peuvent rien lire. Pour beaucoup d'utilisateurs sensibles (journalistes, avocats, militants, dirigeants), c'est un compromis acceptable.

Renforcer la sécurité de l'appareil lui-même

Un code d'accès fort (6 chiffres minimum, idéalement alphanumérique), Face ID ou Touch ID activé, et désactiver l'aperçu des notifications sur écran verrouillé. Ces mesures protègent contre l'accès physique mais pas contre le risque cross-app.

Pour les entreprises : MDM strict

Les solutions de Mobile Device Management permettent de restreindre quelles apps peuvent être installées sur les appareils professionnels et de surveiller les comportements anormaux. Pour toute organisation manipulant des données sensibles via WhatsApp Business, c'est désormais un prérequis et non un nice-to-have.

Garder iOS, macOS et WhatsApp à jour

Standard mais essentiel. Meta finira probablement par corriger ce comportement sous la pression médiatique. Quand le correctif sortira, vous voudrez l'avoir immédiatement.

Migrer vers une messagerie au modèle de stockage plus strict

Si vous gérez des conversations véritablement sensibles, Signal reste la référence en matière de chiffrement local. Le fichier de base de Signal sur iOS et macOS est chiffré au repos avec une clé stockée dans le Keychain de l'OS, ce qui empêche l'accès cross-app même en cas de partage de groupe développeur. Threema et Session offrent des modèles comparables.

Le Problème Plus Large Que WhatsApp

Cette révélation dépasse largement le cas WhatsApp. Elle illustre une faille structurelle dans la façon dont l'industrie communique sur le chiffrement.

Pendant des années, "chiffrement de bout en bout" a été le label marketing ultime la garantie de confidentialité absolue. Mais comme cette affaire le démontre, le chiffrement en transit ne sert à rien si les données sont stockées en clair à l'arrivée. C'est comme blinder un fourgon de transport de fonds pour ensuite déverser les billets dans la rue à destination.

L'avenir de la confidentialité numérique se joue désormais sur deux fronts simultanés :

→ Chiffrement en transit (le combat des années 2010 largement gagné) → Chiffrement au repos avec isolation stricte (le combat des années 2020 à peine commencé)

Et pour la sécurité offensive, cette affaire ouvre des perspectives concrètes. Les bug bounty hunters et les pentesters mobile devraient désormais inclure systématiquement l'analyse des shared app group containers dans leur méthodologie. Combien d'autres applications "sécurisées" utilisent le même pattern sans en mesurer les implications ? La question mérite des recherches.

En Résumé

WhatsApp chiffre vos messages en transit, mais les stocke en clair sur votre iPhone et votre Mac. N'importe quelle autre application Meta peut techniquement les lire. Apple autorise ce comportement par design. Et la situation ne changera pas tant que Meta n'aura pas implémenté un véritable chiffrement au repos avec isolation par application.

D'ici là, la vraie question à se poser n'est plus "WhatsApp est-il sécurisé ?" mais "Quel modèle de menace WhatsApp couvre-t-il vraiment ?" Et pour beaucoup d'utilisateurs sensibles, la réponse risque de ne pas correspondre à l'image marketing.