Arnaques iMessage : Singapour ordonne le blocage des faux messages officiels le 25 novembre 2025

Le 25 novembre 2025Singapour a ordonné à Apple et Google de bloquer sur iMessage et Google Messages les comptes et conversations de groupe qui usurpent des noms gouvernementaux. Le piège tient à un détail vicieux : « gov.sg » peut sembler officiel sans l’être.

Gov.sg, le faux nez du jardin clos

Les autorités singapouriennes ont demandé à Apple et Google d’empêcher les criminels d’imiter des agences publiques dans les messages et les conversations de groupe. L’ordre a été pris au titre de l’Online Criminal Harms Act, le texte singapourien utilisé contre certains usages criminels en ligne.

L’ordre fait suite à des escroqueries qui prétendaient venir de SingPost, le service postal singapourien. Singapour dispose déjà d’un registre SMS local qui limite l’usage du nom « gov.sg » à certains numéros autorisés. Sauf que ce registre ne couvre ni iMessage ni Google Messages. Le jardin clos des messageries avait donc une porte de service grande ouverte.

Bulle bleue, zone grise et gros problème de confiance

Sur l’iPhone, les SMS et les messages iMessage apparaissent dans un même environnement et ne sont pas toujours faciles à distinguer. La familiarité de l’interface peut alors donner à un message frauduleux une crédibilité qu’il n’a pas. Mauvais calcul.

Le spoofing exploite ce raccourci mental. Le message n’a pas besoin de pirater l’iPhone ni de casser le fonctionnement d’iMessage : il lui suffit d’emprunter un nom auquel la victime fait confiance. Dans les arnaques liées à SingPost, l’identité affichée était donc le point d’entrée.

L’ordre demande à Apple et Google de bloquer les comptes et conversations de groupe qui usurpent « gov.sg » ou d’autres agences, ou de filtrer entièrement ces messages. Les deux entreprises ont confirmé qu’elles se conformeraient à la mesure et ont demandé aux utilisateurs de mettre à jour leurs appareils et leurs applications.

Le phishing fait son AppleCare

Un autre cas signalé en novembre 2025 reposait sur de véritables alertes et messages issus des systèmes Apple. Le fraudeur s’en servait pour rendre crédible un faux appel de l’assistance Apple et tenter d’obtenir un accès à distance au compte Apple de la victime.

Quand la notification est réelle, le faux appel paraît plus crédible. Le montage est bien joué côté escroc, franchement naze côté sécurité.

Quatre réflexes, zéro mot de passe

Le mode d’emploi anti-piège

1. Mettez à jour l’appareil et l’application. Sur iPhone, installez les mises à jour disponibles d’iOS. Sur Android, vérifiez la mise à jour de Google Messages. Apple et Google ont demandé ces mises à jour dans le cadre de la mesure.
2. Ne validez pas un expéditeur à son seul nom. « gov.sg », SingPost ou le nom d’une administration peuvent être usurpés. Le nom affiché n’est pas une preuve indépendante.
3. Vérifiez la demande ailleurs. Ouvrez vous-même le site officiel de l’organisme ou utilisez un numéro trouvé sur un document fiable. Ne passez pas par le lien ou le numéro contenus dans le message suspect.
4. Coupez la conversation si elle réclame un accès. Ne donnez pas votre mot de passe, votre code de validation ou un accès à distance à la suite d’un contact non sollicité. Bloquez et signalez le message avec les options de l’application.

Ces gestes ne remplacent pas le filtre demandé aux plateformes. Ils réduisent toutefois le risque pendant l’application de la mesure, car l’ordre singapourien vise une forme précise d’usurpation et ne peut pas supprimer toutes les escroqueries qui circulent par messagerie.

De Singapour à Bruxelles, le shérif change de badge

La décision singapourienne ne relève pas d’un simple réglage d’interface. Elle oblige deux plateformes à traiter l’identité affichée dans leurs services comme un problème de sécurité publique. Le contrôle porte ici sur les comptes, les noms et les groupes des applications, pas seulement sur les numéros du réseau SMS.

En septembre 2025, l’Union européenne examinait elle aussi si les grandes entreprises technologiques devaient faire davantage pour réduire les activités criminelles en ligne. Les deux démarches ne reposent ni sur le même texte ni sur les mêmes obligations. Elles posent toutefois une question commune : quelle part de la lutte contre les faux messages revient aux plateformes?

Pour Apple, l’ordre vise un point concret de l’expérience iPhone : une interface familière peut faire passer un nom usurpé pour une identité vérifiée. Le filtre répond à ce risque, mais il ne fera pas de miracle : une bulle de message ne transforme pas un nom usurpé en organisme officiel.

Reste à voir si le filtrage retirera ces faux expéditeurs des conversations ou si les fraudeurs changeront simplement de costume. La bulle restera bleue. Le nom, lui, devra être vérifié.