Apple a prévenu des utilisateurs dans 110 pays. Non, un logiciel espion n'entre pas par un jeu téléchargé.

Jeudi, Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs dans 110 pays. C'est la plus vaste depuis le lancement du programme en 2021. Celui-ci couvre désormais plus de 150 pays. L'alerte s'affiche en rouge sur l'écran de verrouillage, dans les réglages et sur la page du compte. Apple envoie aussi un courriel.

La porte est blindée, avec douze verrous. Le problème, c'est la fente à courrier.

Et là, tout le monde pose la même question. On me l'a encore posée hier : ça entre par où ? Un jeu téléchargé ? Une appli piégée ? Laquelle faut-il supprimer ?

Réponse courte : aucune. Et c'est bien ce qui dérange.

Personne n'a rien installé

Ces logiciels espions sont dits mercenaires parce qu'ils se louent à des gouvernements. Ils n'arrivent pas par l'App Store. Pas de jeu, pas d'appli lampe torche, pas de pièce jointe à ouvrir. Ils peuvent entrer par un message que tu n'as même pas lu.

Le mécanisme est simple. Quand ton téléphone reçoit une photo, une vidéo ou un appel, il ne se contente pas de l'afficher. Il analyse les données pour préparer un aperçu, reconnaître le format et vérifier que le fichier correspond bien à ce qu'il prétend être. Tout cela se fait automatiquement, avant même que la moindre bulle apparaisse à l'écran. Si le code chargé d'analyser le fichier contient une erreur, un fichier conçu pour déclencher cette erreur peut suffire. L'attaque est alors lancée. Sans toi.

Le colis explose au centre de tri. Toi, tu es dans le salon, ta boîte aux lettres est vide et tu n'as rien demandé.

Ce n'est pas une théorie. Le Citizen Lab, un laboratoire de l'université de Toronto reconnu pour ses travaux sur le sujet, a documenté le cas de deux journalistes. Leurs iPhone ont été infectés par Graphite, le logiciel de la société Paragon. Le point d'entrée était une faille dans le traitement d'une photo ou d'une vidéo partagée par un lien iCloud. Cette faille, référencée CVE-2025-43200, était exploitée au moyen de comptes iMessage. Aucun clic n'était nécessaire. Apple l'a corrigée dans iOS 18.3.1.

Rebelote en février dernier avec CVE-2026-20700. Cette faille provoquait une corruption de mémoire, c'est-à-dire une erreur dans la manière dont un composant système utilise les données en mémoire. Le Threat Analysis Group de Google l'a découverte. Dans son propre bulletin, Apple la décrit comme « exploitée dans une attaque extrêmement sophistiquée contre des personnes spécifiquement ciblées ». Elle était combinée à deux autres failles corrigées en décembre. Trois trous alignés pour un seul cambriolage.

Pourquoi ça ne t'arrivera pas, et le prix le prouve

Tu vas me dire : si mon téléphone peut être compromis sans que je fasse quoi que ce soit, je suis foutu. Non. L'argument le plus solide n'est même pas technique. Il est comptable.

Sept millions pour une porte d'entrée. Ça calme les envies de l'utiliser sur monsieur Tout-le-monde.

Ces chiffres viennent de la grille tarifaire publique d'un courtier en failles, publiée en avril 2024. Une chaîne d'attaque complète, c'est-à-dire plusieurs failles combinées pour prendre le contrôle d'un iPhone par SMS et sans aucune interaction, peut se vendre jusqu'à neuf millions de dollars. Cette arme est aussi jetable. Dès qu'Apple corrige les failles, elle ne vaut plus rien. Personne ne brûle une munition à sept millions pour lire les messages d'un type qui commande des pizzas.

Voilà pourquoi Apple répète que ces attaques sont extrêmement rares et visent des personnes précises : journalistes, avocats, opposants, diplomates ou dirigeants. Si tu n'entres dans aucune de ces catégories, ton principal risque n'est probablement pas là. Il est ailleurs. Et il est beaucoup plus bête.

Par où ça rentre vraiment, chez toi

Là, en revanche, on retrouve bien des applis et des clics. Il existe trois portes principales, par ordre de fréquence.

À droite, la version réaliste. Pas de pirate encapuchonné, juste quelqu'un qui connaît ton code.

La première, c'est le profil de configuration. Il s'agit d'un fichier de réglages que l'on installe soi-même. Prévu à l'origine pour les entreprises et les écoles, il peut rediriger ton trafic ou ajouter un certificat qui permet de contrôler certaines connexions. Un faux appel de l'assistance, un lien, deux boutons, et le profil est installé. Personne n'a piraté quoi que ce soit. On t'a simplement convaincu de le faire toi-même.

La deuxième, ce sont deux minutes seul avec ton téléphone déverrouillé. Les logiciels de surveillance conjugale s'installent souvent comme ça. Pas besoin d'une faille à sept millions quand on connaît le code de son conjoint.

La troisième, c'est ton identifiant Apple. Ici, aucun logiciel à installer. Avec ton mot de passe, quelqu'un peut accéder à la sauvegarde iCloud, donc aux messages et aux photos, depuis n'importe où. C'est la porte la plus discrète des trois. Et celle qu'on oublie toujours.

Dix minutes ce soir, dans les réglages

Bon, passons au concret. Voici quatre endroits à vérifier, dans l'ordre. Ça vaut pour toute la famille.

Réglages > Général > VPN et gestion de l'appareil
Réglages > [ton nom] > liste des appareils, tout en bas
Réglages > Temps d'écran
Réglages > Confidentialité et sécurité > Vérification de sécurité

Dans le premier menu, il ne doit y avoir aucun profil que tu n'as pas installé toi-même. Si ce téléphone n'a jamais été configuré par une école ou une grande entreprise, la liste doit être vide. Dans le deuxième, vérifie que tu reconnais chaque appareil connecté à ton compte. Sinon, déconnecte-le. Le troisième peut cacher des restrictions installées par quelqu'un d'autre. Le quatrième est conçu pour les situations où l'on ne se sent pas libre de fouiller tranquillement. Il permet de couper tous les partages en cours d'un seul coup.

Et, évidemment, installe les mises à jour. Ce n'est pas un conseil de vieux barbon. Les failles mentionnées plus haut restent dangereuses tant qu'elles ne sont pas corrigées sur ton appareil. Le temps entre la publication du correctif et son installation, c'est exactement la fenêtre de tir.

Le mode Isolement, et ce qu'il te coûte

Le mode Isolement est l'option recommandée par Apple aux personnes qui reçoivent cette notification. Il existe depuis iOS 16 et ses résultats sont franchement bons. En mars, Apple déclarait n'avoir connaissance d'aucune attaque de ce type réussie contre un appareil protégé par ce mode. Le Citizen Lab a aussi documenté au moins deux cas où il a bloqué une attaque en cours.

Ce mode n'est pas magique. Il réduit la surface d'attaque en coupant des fonctions, donc il se paie en confort. Il bloque la plupart des pièces jointes dans les messages, sauf les images. Il désactive des technologies web complexes, ce qui peut casser certains sites. Il refuse la 2G et la 3G, les réseaux Wi-Fi jugés douteux, les connexions filaires avec un autre appareil et les appels provenant de numéros inconnus. Il interdit aussi l'installation d'un profil de configuration.

Autrement dit, il ferme la fente à courrier. Si tu es journaliste, avocat ou dirigeant, active-le et vis avec ses contraintes. Si tu es plombier à Grez-Doiceau, tu risques surtout de t'énerver contre ton téléphone.

Si tu reçois vraiment la notification

Un détail à connaître, parce que cette alerte est devenue le meilleur prétexte à arnaque du moment. Une vraie notification d'Apple ne te demande jamais de cliquer sur un lien, d'ouvrir un fichier, d'installer une application ou un profil. Elle ne te demande pas non plus ton mot de passe ni un code de vérification, que ce soit par courriel ou par téléphone. Jamais.

Pour vérifier l'alerte, il n'existe qu'une bonne méthode. Ouvre toi-même account.apple.com, puis connecte-toi. La notification doit apparaître en haut de la page. Si elle n'y est pas, c'est un faux. Si elle y est, Apple conseille d'appeler la ligne d'urgence de l'ONG Access Now, qui propose cette aide gratuitement.

Ce que j'en pense

Il y a une bonne nouvelle cachée dans cette histoire, et personne ne la formule vraiment. Prendre le contrôle d'un iPhone à distance exige plusieurs failles inédites combinées et coûte plusieurs millions de dollars. Cela montre que la sécurité du bidule tient sacrément bien. On râle contre Apple et son jardin fermé, mais c'est aussi ce qui rend cette porte si chère à ouvrir.

La mauvaise nouvelle, c'est qu'un marché entier vit de la revente de ces clés. Les tarifs s'affichent comme dans un catalogue de pièces détachées. Et, pour la plupart des cibles, le seul avertissement vient d'une notification envoyée par le fabricant du téléphone. Comme filet de sécurité, on a vu plus rassurant.

Alors non, ton neveu ne t'installera pas Pegasus avec un jeu de course pourri. Mais ce soir, regarde quand même la liste des profils et des appareils connectés à ton compte. Ça prend deux minutes. Et c'est là que se cachent les vraies mauvaises surprises.