Le code de sécurité livré sur votre répondeur

Vendredi, vingt heures, vous êtes au restaurant. Votre téléphone sonne, numéro inconnu, vous décrochez ou vous laissez sonner, peu importe. Pendant ce temps, quelqu’un se connecte à votre messagerie chiffrée. Aucun logiciel malveillant, aucun faux site, aucun mot de passe volé. Juste une messagerie vocale que vous n’avez jamais configurée, parce que vous ne vous en servez pas. Présenté lors de la session de rumps de BarbHack 2026, ce cas réel mérite qu’on s’y arrête, parce que la parade prend deux minutes et que presque personne ne l’a mise en place.

Seizième volet de notre couverture de BarbHack.

L’attaque, pas à pas

• L’attaquant vous appelle, sans autre objectif que d’occuper votre ligne.
• Dans le même temps, il demande à l’application de lui envoyer un code d’authentification par appel vocal, une option proposée quand le SMS « n’arrive pas ».
• Le service appelle donc votre numéro. Votre ligne étant occupée, l’appel bascule sur votre messagerie vocale, qui enregistre consciencieusement le code.
• L’attaquant appelle alors votre messagerie vocale depuis l’extérieur, une possibilité activée par défaut chez de nombreux opérateurs, et saisit le code d’accès par défaut, souvent quatre zéros ou quatre neuf en France.
• Il écoute le message, récupère le code, et ouvre une session sur votre compte.

Le choix du moment n’a rien d’accidentel. Un vendredi soir, au restaurant, vous ne regarderez pas vos notifications avant un moment. C’est de l’ingénierie sociale au sens strict : le scénario exploite votre attention, pas votre téléphone.

Ce qui rend l’attaque possible n’est pas une vulnérabilité

Il n’y a ici aucune faille à corriger, aucun correctif à installer. Il y a trois réglages par défaut qui s’empilent, et dont aucun n’est le vôtre :

• la messagerie vocale est activée à l’ouverture de la ligne, que vous l’utilisiez ou non ;
• sa consultation à distance, depuis n’importe quel téléphone, est ouverte elle aussi ;
• son code d’accès est une valeur par défaut, identique pour des millions d’abonnés.

Chacun de ces réglages est une décision de confort prise par quelqu’un d’autre, pour vous. Mis bout à bout, ils transforment votre répondeur en second facteur d’authentification, à l’insu de tout le monde, à commencer par vous.

Ce n’est pas nouveau, et c’est bien le problème

L’intervenant renvoyait à une démonstration publique de la technique. Nous avons retrouvé le travail de référence : le chercheur Martin Vigo a présenté exactement cette attaque à DEF CON 26, en 2018, sous le titre « Compromising online accounts by cracking voicemail systems ».

Sa recherche montrait déjà que le procédé touchait la réinitialisation de mot de passe de services grand public majeurs et l’authentification de plusieurs messageries. Elle décrivait aussi une variante plus retorse que le simple code par défaut, consistant à manipuler le message d’accueil du répondeur lui-même, ce qui rend insuffisante la seule précaution de changer son code.

Huit ans plus tard, la technique fonctionne toujours, et elle est encore présentée en conférence comme une curiosité. C’est le vrai enseignement de cette rump : le problème n’est pas la découverte d’une faille, c’est la persistance d’un réglage.

Le retournement : l’attaquant peut vous expulser

La plupart des applications préviennent de l’ouverture d’une session sur un nouvel appareil. C’est une bonne chose, à condition de réagir. Au restaurant, un vendredi soir, la notification attendra.

Et il y a pire. Une fois connecté, l’attaquant dispose exactement de la même interface que vous, donc des mêmes pouvoirs. Il peut fermer vos sessions légitimes et vous mettre dehors de votre propre compte. Le réflexe naturel, « je le déconnecterai quand je rentre », suppose que vous aurez encore la main. Rien ne le garantit.

La parade, en deux réglages

• Sur l’application, activez le mot de passe ou code supplémentaire que proposent les messageries sérieuses, souvent appelé vérification en deux étapes. Tout nouvel appareil devra alors fournir un secret que vous seul connaissez. Dans le cas raconté, cette seule option aurait suffi : le code récupéré sur le répondeur n’aurait ouvert aucune porte.
• Sur votre ligne mobile, vérifiez si la messagerie vocale est active. Si vous vous en servez, changez son code d’accès et, si votre opérateur le permet, coupez la consultation à distance. Si vous ne vous en servez pas, ce qui est le cas de beaucoup de monde, désactivez-la complètement : c’est la seule mesure qui ferme définitivement ce chemin.

Ajoutez-y deux habitudes : passer en revue les sessions actives de vos applications sensibles de temps à autre, et traiter une notification de connexion inconnue comme une urgence, pas comme une information.

Pourquoi le SMS et l’appel ne sont pas un second facteur sérieux

Cette histoire illustre un point que nous développions dans notre article sur les limites de la double authentification : un code transmis par le réseau téléphonique dépend d’une infrastructure que vous ne maîtrisez pas et de paramètres laissés par défaut par des tiers. Messagerie vocale, détournement de numéro, interception : les chemins sont multiples et ils ont tous en commun de contourner le code sans jamais le deviner.

Quand une application propose mieux, un mot de passe local, une clé, une passkey, il faut le préférer. Et désactiver l’authentification par appel vocal partout où l’option existe.

Ce qu’on en retient chez Humanix

• Les réglages par défaut sont des décisions de sécurité prises par quelqu’un d’autre. La seule question qui vaille, pour un téléphone comme pour un équipement réseau : qu’est-ce qui est activé que je n’ai pas demandé, et à quoi ça sert ?
• Pour une entreprise, c’est une question de flotte, pas d’individu. Si les lignes mobiles de vos collaborateurs ont toutes leur messagerie vocale active sur le code par défaut, la faiblesse est commune à tout le parc, et elle vise en priorité les comptes les plus intéressants, direction comprise. Cette vérification se fait auprès de votre opérateur, en une demande, pour l’ensemble des lignes.
• Le moment de l’attaque fait partie de l’attaque. Vendredi soir, veille de congés, jour de déménagement de serveurs. Une sensibilisation utile le dit clairement : la sollicitation suspecte arrive toujours au pire moment, et ce n’est pas un hasard.
• Savoir qu’on peut être expulsé change la réaction. Devant une connexion inconnue, on agit immédiatement, et si possible depuis un autre canal. Cela mérite d’être écrit dans votre procédure d’incident, y compris pour les comptes personnels des dirigeants, qui sont souvent la vraie porte d’entrée.
• Et c’est un cas parfait pour la démonstration. Expliquer qu’un répondeur est un risque ne convainc personne. Appeler la ligne d’un participant volontaire pendant la session, et lui faire entendre sa propre messagerie s’ouvrir sur quatre zéros, convainc tout le monde, définitivement. La preuve avant le verdict.

Note. Compte-rendu, à visée de sensibilisation défensive, d’une intervention courte de la session de rumps de BarbHack 2026, complété par nos soins. Nous décrivons le principe de l’attaque et ses contre-mesures, pas de procédure d’exploitation : la technique est publiquement documentée depuis 2018 et sa parade est à la portée de tout le monde, ce qui est précisément la raison d’en parler. Si le sujet vous concerne, commencez par vérifier votre propre messagerie vocale avant de lire la suite du blog. Seizième volet de notre couverture de l’événement. Une flotte mobile à passer en revue, ou une sensibilisation à organiser ? Contactez-nous.