Afin de sécuriser WhatsApp, Meta a procédé au « plus grand déploiement jamais réalisé de code Rust sur un ensemble diversifié de plateformes et de produits », et annonce vouloir accélérer l’adoption du langage de programmation sécurisé Rust au cours des prochaines années. La messagerie intègre par ailleurs un mode anti-logiciels espion ou malveillants.

WhatsApp vient d’annoncer, ce mardi 27 janvier, « une nouvelle mesure de protection de la confidentialité : les paramètres de compte stricts » (« Strict Account Settings » en VO), semble-t-il inspirée du mode de protection avancé (« Advanced Protection Mode » en VO) introduit par Google en 2020 puis du mode Lockdown mis en œuvre par Apple en 2022 pour réduire la surface d’attaque des Android et iPhone face aux logiciels espion « mercenaires ».

Elle s’adresse en effet elle aussi aux personnes qui, journalistes ou personnalités publiques notamment, « peuvent avoir besoin de mesures de sécurité extrêmes pour se protéger contre les cyberattaques rares et hautement sophistiquées », ou qui pensent « être la cible d’une attaque informatique », précise WhatsApp sur son blog :

« Si vous activez cette fonctionnalité, certains réglages de compte seront verrouillés sur les paramètres les plus restrictifs, ayant pour effet de limiter le fonctionnement de WhatsApp dans certains cas de figure, en bloquant par exemple les pièces jointes et les médias envoyés par des personnes qui ne figurent pas dans vos contacts. »

Les paramètres de compte stricts, qui seront déployés progressivement au cours des prochaines semaines, seront accessibles en accédant à Paramètres > Confidentialité > Avancé.

Une décision qui remonte à la faille Stagefright de 2015

WhatsApp précise que ces paramètres de compte stricts « constituent l’un des nombreux moyens que nous avons développés pour vous protéger des cybermenaces les plus avancées ». L’entreprise indique également avoir « déployé en coulisses un langage de programmation appelé Rust pour protéger vos photos, vidéos et messages face aux logiciels espions, et vous permettre de partager et de discuter en toute confiance ».

Dans un billet technique séparé, mais publié dans la foulée, Meta revient plus en détails sur le fait que WhatsApp a « adopté et déployé une nouvelle couche de sécurité pour ses utilisateurs, développée avec le langage de programmation sécurisé Rust », dans le cadre de ses efforts visant à renforcer ses défenses contre les menaces liées aux logiciels malveillants.

Meta explique que cette décision fait suite à la découverte, en 2015, de la vulnérabilité Stagefright qui permettait de pirater les terminaux Android à partir d’un simple MMS :

« Le bug résidait dans le traitement des fichiers multimédias par les bibliothèques fournies par le système d’exploitation, de sorte que WhatsApp et d’autres applications ne pouvaient pas corriger la vulnérabilité sous-jacente. Comme la mise à jour vers la dernière version d’un logiciel peut souvent prendre des mois, nous avons cherché des solutions qui permettraient d’assurer la sécurité des utilisateurs de WhatsApp, même en cas de vulnérabilité du système d’exploitation. »

• Stagefright : ce que l’on sait de la faille qui permet de pirater Android via un simple MMS

Les développeurs de WhatsApp ont réalisé qu’une bibliothèque C++ utilisée par l’application pour envoyer et formater des fichiers MP4 (appelée « wamedia ») pouvait être modifiée afin de « détecter les fichiers qui ne respectaient pas la norme MP4 et qui pouvaient déclencher des bogues dans une bibliothèque OS vulnérable du côté du destinataire, mettant ainsi en danger la sécurité de la cible ».

Plutôt que de la réécrire, ils en ont développé une version Rust compatible avec la version C++ originale, puis « remplacé 160 000 lignes de code C++ (hors tests) par 90 000 lignes de code Rust (tests compris) ».

Le « plus grand déploiement jamais réalisé de code Rust »

Meta précise avoir rajouté « davantage de contrôles » au fil du temps, et que WhatsApp vérifie désormais les « types de fichiers à haut risque » tels que les .pdf, qui « sont souvent vecteurs de logiciels malveillants » :

« Nous détectons également lorsqu’un type de fichier se fait passer pour un autre, grâce à une extension ou un type MIME falsifié. Enfin, nous signalons de manière uniforme les types de fichiers connus pour être dangereux, tels que les exécutables ou les applications, afin qu’ils soient traités de manière spéciale dans l’expérience utilisateur de l’application. »

Cet ensemble de vérifications, qu’ils appellent « Kaleidoscope », « protège les utilisateurs de WhatsApp contre les clients non officiels et les pièces jointes potentiellement malveillantes », avance Meta : « Bien que les vérifications de format ne permettent pas d’arrêter toutes les attaques, cette couche de défense contribue à en atténuer bon nombre ».

Rappelant que le chiffrement de bout en bout de WhatsApp est utilisé par ses trois milliards d’utilisateurs, Meta avance que « nous pensons qu’il s’agit du plus grand déploiement jamais réalisé de code Rust sur un ensemble diversifié de plateformes et de produits destinés aux utilisateurs finaux dont nous ayons connaissance », et précise que « nous prévoyons d’accélérer l’adoption de Rust au cours des prochaines années ».

• Sylvestre Ledru (Mozilla) : de Firefox au noyau Linux, la fulgurante ascension du Rust

Une faille de sécurité corrigée, et une plainte « ridicule »

WhatsApp vient par ailleurs de corriger une faille de sécurité, découverte dans l’application Android par les équipes du Projet Zero de Google en septembre 2025. Elle permettait à un attaquant de rajouter des victimes à des groupes, « puis de leur envoyer un fichier multimédia malveillant automatiquement téléchargé sur l’appareil de la victime sans aucune interaction de sa part », rapporte Neowin.

Il était cela dit possible de s’en prémunir en activant la confidentialité avancée des discussions dans WhatsApp (en appuyant sur les trois petits points en haut à droite, puis sur Infos du groupe), soulignait Neowin dans un précédent article, ou en désactivant le téléchargement automatique des médias (via Paramètres -> Stockage et données).

Ces explications détaillées sur le renforcement de la sécurité de WhatsApp ont par ailleurs été mises en ligne alors que le 23 janvier, trois cabinets d’avocats ont porté plainte contre Meta. Ils l’accusent rien moins que d’avoir comploté pour cacher le fait que les messages WhatsApp ne seraient pas chiffrés de bout en bout, et qu’il serait extrêmement simple à ses employés d’y accéder.

Une accusation qualifiée de « fiction sans fondement » par le porte-parole de Meta et de « ridicule » par plusieurs experts en cryptographie, d’autant que l’un de ces cabinets d’avocats est aussi celui de NSO, l’éditeur du logiciel espion Pegasus condamné l’an passé pour avoir piraté WhatsApp.

• L’avocat de NSO accuse Meta de ne pas chiffrer les messages WhatsApp