Le 4 novembre 2026, l’équipe Threat Detection & Research de Sekoia a publié l’analyse d’une campagne d’espionnage menée contre des smartphones Android et des iPhone. L’éditeur français l’attribue au groupe russe APT29, rattaché au service de renseignement extérieur (SVR), avec un niveau de confiance qu’il qualifie de « modéré à élevé ». Une seule visite sur une page piégée suffisait à compromettre un téléphone en retard de mises à jour. Toutes les failles utilisées étaient corrigées avant le début de l’opération.
Le sujet a été largement repris dans la presse grand public, souvent avec un conseil unique : mettre Chrome à jour. Ce conseil vaut pour Android ; sur iPhone, les failles exploitées se trouvent dans WebKit, le moteur d’affichage d’Apple sur lequel repose aussi Chrome pour iOS, et seule la mise à jour du système les corrige. Le rapport de Sekoia apporte d’autres précisions utiles, notamment sur les données volées et sur ce qu’il faut faire après coup.
Comment les téléphones ont été piégés
L’enquête a démarré mi-octobre 2026, quand les analystes ont repéré un script malveillant dans le gabarit du site d’un producteur de gaz ukrainien. En tirant le fil, ils ont trouvé d’autres sites légitimes modifiés de la même manière : celui d’une grande association professionnelle américaine du secteur de la chimie, un site bulgare lié au domaine militaire, celui d’un parti politique européen d’extrême droite, et même celui d’une clinique australienne dont l’intérêt stratégique reste obscur.
Quand un site visé résistait, les attaquants en fabriquaient une copie. Le domaine america250[.]holiday relayait en temps réel le site officiel des 250 ans de l’indépendance américaine en y glissant le code malveillant. Le domaine theowo[.]club faisait la même chose avec le site du Raffles London at The OWO, un palace installé dans l’ancien ministère de la Guerre britannique, à quelques rues de Downing Street. Sekoia y voit une tentative de viser des délégations diplomatiques et des clients de premier plan.
Le vecteur le plus large reste la chaîne d’approvisionnement. Du 27 août au 3 septembre 2026, APT29 a compromis le traceur d’audience de Plerdy, un service ukrainien d’analyse web chargé par des milliers de sites, en majorité ukrainiens. Pendant une semaine, chaque visiteur de ces sites recevait le script de profilage en plus du traceur légitime. Parmi eux figuraient des sites de recrutement militaire et de fournisseurs de drones ou d’équipements balistiques. Sekoia ne sait pas dire si les attaquants cherchaient des personnes précises ou lançaient un filet large pour trier ensuite les données récoltées.
Le script de profilage, baptisé UltimateFingerprinter par ses auteurs, relève 394 caractéristiques du navigateur et de l’appareil. Il est caché au bout d’une copie de la bibliothèque AngularJS, qui représente 98 % d’un fichier de 2,3 Mo. Selon Sekoia, ce lest pourrait servir à saturer les outils d’analyse automatique ou à donner au fichier un air anodin. Le serveur lit ensuite la version du système et du navigateur, puis renvoie la chaîne d’exploitation adaptée.
Sur Android : Chrome puis la puce graphique Qualcomm
La chaîne Android visait Chrome dans ses versions 139 à 145, la version 143 étant exclue sans que Sekoia ait trouvé pourquoi. Elle exploite d’abord la faille CVE-2026-3910 du moteur JavaScript de Chrome pour exécuter du code dans le navigateur, puis la faille CVE-2025-27038 du pilote graphique Adreno de Qualcomm pour sortir du bac à sable de Chrome et obtenir des droits plus élevés. Seuls les téléphones équipés d’une puce Snapdragon étaient donc concernés. Le code s’arrête volontairement s’il détecte un Samsung Galaxy S25 Ultra.
Le programme déposé ensuite, que Sekoia a nommé AndroSnitch, copie les cookies de Chrome, les identifiants enregistrés, l’historique de navigation et le fichier de configuration Wi-Fi du téléphone, qui contient les mots de passe de tous les réseaux auxquels l’appareil s’est connecté. Google avait corrigé la faille de Chrome en mars 2026. Un téléphone touché avait donc plusieurs mois de retard de mise à jour.
Sur iPhone : deux chaînes, deux niveaux de gravité
La première chaîne visait iOS 16.7, alors que les failles employées fonctionnent de iOS 16.0 à iOS 17.4. Elle vole les cookies de toutes les applications ouvertes, pas seulement ceux de Safari, et les envoie au serveur des attaquants. Avec des cookies de session valides, on peut entrer dans une messagerie web ou un service en ligne sans connaître le mot de passe et sans passer par la double authentification.
La seconde chaîne visait iOS 18.5 et repose sur DarkSword, un kit d’exploitation développé selon toute vraisemblance par un vendeur commercial de logiciels espions. Google, iVerify et Lookout l’avaient documenté publiquement le 18 mars 2026. Une fois le téléphone compromis, le collecteur emporte presque tout : SMS et iMessage, index de la messagerie Mail, messagerie vocale, bases WhatsApp et Telegram, mots de passe et jetons du trousseau, comptes enregistrés, clés Wi-Fi, contacts, journal d’appels, calendrier, notes, historique Safari, historiques de localisation, données Santé, photothèque et fichiers iCloud Drive. Apple a corrigé l’ensemble des failles de DarkSword avec iOS 26.3.
Les nuances qui changent la façon de se protéger
Le terme « zéro clic » a beaucoup circulé. La victime n’avait rien à toucher ni à autoriser, mais elle devait ouvrir une page infectée. Comme les pages piégées appartenaient souvent à des sites parfaitement fréquentables, la vigilance de l’utilisateur ne protégeait de rien. Seule la mise à jour fermait la porte.
Plusieurs articles affirment que les particuliers ont été épargnés. Le rapport de Sekoia ne dit pas cela. Les cibles probables sont liées à la guerre en Ukraine, à la diplomatie et à la défense, mais la compromission de Plerdy a exposé pendant une semaine tous les visiteurs de milliers de sites, et la liste des sites piégés comprend des organismes sans lien apparent avec ces sujets.
Aucune des charges ne s’installe durablement sur le téléphone. Un redémarrage efface le code malveillant, mais les données déjà parties restent entre les mains des attaquants. Les cookies de session volés fonctionnent jusqu’à leur expiration ou leur révocation, et les mots de passe Wi-Fi restent valables tant qu’on ne les change pas. Un téléphone remis à jour aujourd’hui ne règle donc pas la question des comptes qu’il a pu exposer hier.
Votre appareil était-il dans le périmètre ?
| Appareil et version | Situation |
|---|---|
| Android avec puce Snapdragon, Chrome 139 à 145 (sauf 143) | Visé : cookies, identifiants Chrome, historique, mots de passe Wi-Fi |
| Android, Chrome 146 ou plus récent | Hors périmètre de cette chaîne |
| iPhone sous iOS 16.0 à 17.4 | Visé : cookies de toutes les applications ouvertes |
| iPhone sous iOS 18.5 | Visé : vol quasi complet des données du téléphone |
| iPhone sous iOS 18.4 à 18.7.x | Exposé à DarkSword dans d’autres campagnes documentées par Google |
| iPhone sous iOS 26.3 ou plus récent | Hors périmètre |
Les iPhone 8 et iPhone X, qui ne peuvent pas dépasser iOS 16, posent un problème à part. Rien ne garantit que les dernières versions de cette branche ferment toutes les failles de la première chaîne. Pour un appareil qui ne peut plus être mis à jour, Google recommande d’activer le mode Isolement. Le remplacement du téléphone reste la solution la plus sûre s’il sert à un usage professionnel.
Ce que cela change pour les organismes
Un smartphone professionnel donne accès à la messagerie, au cloud, aux applications métier et parfois aux réseaux Wi-Fi internes. L’article 32 du RGPD impose des mesures de sécurité adaptées au risque, et la tenue à jour des équipements en fait partie. Une flotte gérée par un outil de gestion des appareils mobiles (MDM) peut imposer une version minimale du système et du navigateur. Une flotte sans gestion centralisée, ou un usage de téléphones personnels sans règles, laisse ce point à la bonne volonté de chacun.
Si un téléphone professionnel resté sur une version vulnérable a pu visiter un site compromis pendant la campagne, l’incident doit être analysé comme une violation possible de données personnelles. Les cookies de session et les identifiants volés ouvrent un accès aux boîtes de messagerie et à leur contenu. La violation se consigne dans le registre interne prévu à l’article 33.5 du RGPD, et la notification à la CNIL intervient dans les 72 heures si un risque pour les personnes est établi.
Tutoriel : protéger son téléphone pas à pas
Les intitulés des menus peuvent varier légèrement selon le fabricant du téléphone Android et la version du système. Cliquez sur chaque étape pour l’ouvrir.
Android, étape 1 : vérifier et mettre à jour Chrome
Android, étape 2 : installer les mises à jour du système
Android, étape 3 : durcir Chrome sans changer de téléphone
Android, étape 4 : la Protection avancée pour les profils exposés
iPhone, étape 1 : mettre à jour iOS et automatiser les mises à jour
iPhone, étape 2 : activer le mode Isolement
- Ouvrez Réglages, puis Confidentialité et sécurité.
- Faites défiler l’écran jusqu’en bas et touchez Mode Isolement.
- Touchez Activer le mode Isolement, puis une seconde fois Activer le mode Isolement.
- Touchez Activer et redémarrer, puis saisissez le code de l’iPhone.
iPhone, étape 3 : ce que le mode Isolement change au quotidien
- Messages : la plupart des pièces jointes sont bloquées, à l’exception de certaines images, vidéos et fichiers audio. Les liens et leurs aperçus ne s’affichent plus.
- Navigation web : certaines technologies web complexes sont bloquées. Des sites se chargent plus lentement ou fonctionnent mal, les polices web peuvent disparaître et des images être remplacées par une icône vide.
- FaceTime : les appels entrants sont bloqués, sauf si vous avez appelé la personne au cours des 30 derniers jours. SharePlay et Live Photos ne sont plus disponibles.
- Services Apple : les invitations venant de personnes que vous n’avez jamais invitées sont bloquées (partage d’un domicile dans l’app Maison, par exemple). Les modes de concentration ne fonctionnent plus normalement et Game Center est désactivé.
- Photos : la localisation est retirée des photos partagées, les albums partagés disparaissent de l’app Photos et les nouvelles invitations sont bloquées.
- Connexions : l’iPhone doit être déverrouillé pour se connecter à un accessoire ou à un ordinateur.
- Réseaux sans fil : l’iPhone ne se connecte plus automatiquement aux Wi-Fi non sécurisés et se déconnecte de celui qu’il utilise au moment de l’activation. La 2G et la 3G sont désactivées.
- Profils de configuration : aucun profil ne peut être installé et l’appareil ne peut pas être inscrit dans un outil de gestion des appareils mobiles.
iPhone, étape 4 : exclure un site, une application ou un contact
iPhone, étape 5 : le mode Isolement sur un téléphone d’entreprise
Après une exposition possible : que faire
- Déconnectez toutes les sessions ouvertes de vos comptes Google, Microsoft, Apple, de votre messagerie et de vos services cloud, depuis la page de sécurité de chaque compte.
- Changez les mots de passe enregistrés dans Chrome ou dans le trousseau iCloud, en commençant par la messagerie, qui permet de réinitialiser tous les autres.
- Changez la clé Wi-Fi de votre box et demandez la même chose pour les réseaux professionnels auxquels le téléphone s’est connecté.
- Redémarrez le téléphone après la mise à jour : les charges utilisées ne survivent pas à un redémarrage.
- Prenez au sérieux toute notification de menace envoyée par Apple ou Google, et faites examiner l’appareil.
Cette campagne n’utilisait aucune faille inédite. APT29 a parié sur des téléphones restés plusieurs mois sans mise à jour, et des kits comme DarkSword circulent désormais entre vendeurs de logiciels espions et services de renseignement. Sekoia s’attend à voir ces réemplois se multiplier. Pour un organisme, reste à inscrire dans la politique de sécurité le délai au-delà duquel un téléphone sans correctif perd l’accès aux données de l’entreprise.