Le 29 octobre 2026, Apple a envoyé une nouvelle série de notifications de menace à des utilisateurs de 99 pays. Les cibles habituelles de ces logiciels espions mercenaires sont des journalistes, des élus et des dirigeants d’entreprise. Pour une organisation, le sujet dépasse le téléphone d’un collaborateur et touche aux données professionnelles qu’il contient.
Ce qui s’est passé le 29 octobre
Apple a prévenu des utilisateurs répartis dans 99 pays, dont la France, qu’un appareil lié à leur compte avait été visé par une attaque très sophistiquée. Les logiciels en cause peuvent, dans certains cas, prendre le contrôle d’un téléphone sans que son propriétaire s’en rende compte. Le CERT-FR, rattaché à l’ANSSI, a confirmé la campagne et demande aux destinataires de réagir vite.
Le CERT-FR avait déjà recensé deux campagnes en 2026, le 26 février et le 13 août. Apple utilise ce mécanisme d’alerte depuis 2021 et dit avoir prévenu, depuis, des utilisateurs dans plus de 150 pays.
Le chiffre de 99 pays porte sur cette seule campagne. Il ne dit rien du nombre de téléphones piratés ni du nombre de victimes réelles.
En Allemagne, des membres du Bundestag et des responsables gouvernementaux auraient reçu ces avertissements, et le BSI a appelé à la vigilance. Aucun auteur n’a été identifié publiquement, et rien ne permet d’affirmer qu’une même organisation se trouve derrière l’ensemble des attaques.
Des logiciels conçus pour une cible précise
Pegasus, Predator ou Graphite ne visent pas le grand public. Ils sont développés pour atteindre des personnes déterminées et leur conception coûte cher. Certains exploitent des failles encore inconnues de l’éditeur, dites zero-day. D’autres fonctionnent en zero-click : la victime n’a rien à faire, la réception d’un message piégé peut suffire. Ces outils s’achètent sur un marché commercial de la surveillance dont les clients sont souvent des services étatiques.
Installé assez profondément, un tel logiciel peut lire les conversations, les courriels, les contacts, les documents, l’agenda, la localisation et les données des applications. Certains savent aussi activer le micro ou la caméra.
Le chiffrement des messageries protège peu dans ce cas. WhatsApp, Signal ou iMessage chiffrent le message pendant son trajet. Un logiciel espion qui lit l’écran ou la mémoire du téléphone récupère le message après son déchiffrement, en clair. Les organisations qui font circuler des informations stratégiques par ces applications ont intérêt à garder ce point en tête.
Recevoir l’alerte ne veut pas dire être piraté
Selon le CERT-FR, la notification signifie qu’au moins un appareil associé au compte Apple a été ciblé et pourrait être compromis. Elle repose sur des indices techniques détectés par Apple et ne prouve pas que l’attaquant a réussi.
Plusieurs mois peuvent séparer l’attaque de la notification. Une personne prévenue fin octobre a pu être visée au printemps. Apple ne publie pas ses critères de détection, pour éviter que les attaquants adaptent leurs outils.
Pour vérifier qu’une alerte est authentique, il suffit de se connecter directement à account.apple.com, où Apple affiche un avertissement sur le compte concerné. Le réflexe protège aussi de l’hameçonnage : la médiatisation de ces alertes est une aubaine pour les faux courriels “Apple”.
Pourquoi les entreprises sont concernées
Le téléphone d’un dirigeant contient ses échanges avec ses clients, ses partenaires et son avocat. Celui d’un responsable RH donne accès aux dossiers des salariés, celui d’un professionnel de santé à des informations médicales, et l’administrateur système s’en sert souvent pour valider ses connexions aux serveurs critiques.
Compromettre l’un de ces appareils expose des données personnelles, des secrets d’affaires, des informations contractuelles et parfois les accès au système d’information lui-même.
Le cas le plus délicat reste le téléphone personnel utilisé pour le travail. L’entreprise n’a en général aucun moyen de vérifier son intégrité, alors qu’il ouvre la messagerie, les applications SaaS et les documents partagés. La sécurité des smartphones a donc sa place dans la politique de sécurité des systèmes d’information, avec des mesures graduées selon les fonctions et la sensibilité des données accessibles.
Ce que prévoit le RGPD
Une tentative d’espionnage contre un collaborateur ne constitue pas, à elle seule, une violation de données personnelles. La violation suppose un incident de sécurité ayant porté atteinte à la confidentialité, à l’intégrité ou à la disponibilité de données personnelles.
Si le téléphone compromis a permis d’accéder sans autorisation à des données professionnelles, les articles 33 et 34 du RGPD peuvent s’appliquer. Le responsable du traitement doit alors établir quelles données ont pu être exposées, quelles personnes sont concernées et quelles conséquences sont possibles.
Une violation avérée est inscrite au registre interne. Si elle présente un risque pour les droits et libertés des personnes, elle est notifiée à la CNIL dans les meilleurs délais, si possible dans les 72 heures après que le responsable du traitement en a pris connaissance. Si le risque est élevé, les personnes concernées sont informées, sauf exception prévue par le RGPD.
Le délai de 72 heures ne part pas de la réception de l’alerte Apple. Il court à partir du moment où l’organisme a une certitude raisonnable qu’une violation de données personnelles s’est produite, ce qui suppose souvent une première investigation technique.
Le DPO contribue à l’évaluation des risques, conseille le responsable du traitement sur ses obligations et veille à ce que chaque décision puisse être justifiée après coup. Les éléments techniques, les conclusions des investigations, les décisions et les mesures correctives sont à conserver. Ce dossier sert à démontrer la conformité, y compris lorsque l’organisme conclut à l’absence de violation.
Que faire en cas d’alerte
Commencez par vérifier l’alerte sur account.apple.com, sans cliquer sur les liens d’un courriel. Prévenez ensuite le CERT-FR et, en entreprise, l’équipe chargée de la sécurité informatique. Gardez le courriel d’alerte, notez sa date de réception et les appareils concernés.
Évitez de toucher au téléphone dans la précipitation. Une réinitialisation, une mise à jour, la suppression d’une application ou même un redémarrage peuvent effacer des traces utiles à l’enquête. Les consignes des spécialistes passent avant tout. En attendant, cessez les échanges sensibles sur cet appareil et envisagez de le remplacer temporairement par un équipement de confiance.
Pour les appareils hors investigation, les mises à jour d’iOS restent la première protection. Apple propose aussi le mode Isolement aux personnes très exposées : il restreint certains contenus reçus dans Messages et certaines fonctions de navigation, ce qui réduit les points d’entrée. Il ne protège pas de tout. Sur un téléphone suspect, son activation se décide avec les enquêteurs, puisqu’elle modifie l’état de l’appareil.
Le smartphone, un sujet de gouvernance
Les organisations investissent dans leurs serveurs, leurs réseaux, leurs sauvegardes et leurs postes de travail. Les smartphones donnent accès aux mêmes ressources et sont souvent moins surveillés.
Pour les fonctions sensibles, un appareil professionnel dédié et une gestion centralisée des terminaux changent déjà beaucoup de choses. S’y ajoutent la limitation des accès au strict nécessaire, la séparation des usages personnels et professionnels, et une procédure de réponse aux incidents qui prévoit le cas du mobile.
Toutes les fonctions ne pèsent pas le même poids. Le téléphone d’un dirigeant, d’un professionnel de santé ou d’un administrateur aux droits étendus mérite plus de protection que celui d’un utilisateur ordinaire, et ces profils gagnent à être identifiés avant l’incident.
L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque, terminaux mobiles compris dès lors qu’ils servent à traiter des données personnelles. Les analyses de risques, les politiques de sécurité et, quand les conditions sont réunies, les analyses d’impact relatives à la protection des données (AIPD) doivent intégrer ces menaces.
Un outil de pilotage de la conformité comme DPO SUITE aide à centraliser les évaluations de risques, le suivi des incidents, les plans d’action et les preuves des mesures prises. Il ne remplace ni les outils de sécurité informatique ni une investigation technique.
Une menace ciblée
Apple rappelle que ces attaques restent rares et visent des personnes choisies pour leur activité, leurs responsabilités ou les informations auxquelles elles ont accès. La plupart des utilisateurs d’iPhone ne sont pas concernés. Les entreprises françaises comptent pourtant, parmi leurs dirigeants et leurs experts, des profils qui correspondent à ces cibles.
Pour un responsable du traitement ou un DPO, le smartphone fait partie du système d’information. Il relève des mêmes exigences de sécurité, de contrôle des accès et de protection des données que le reste du parc, avec une différence de taille : il voyage dans la poche des collaborateurs.
Sources
CERT-FR, ANSSI, Campagne de notifications de menace envoyée par Apple, référence CERTFR-2025-CTI-010, mise à jour du 30 octobre 2026. https://www.cert.cyber.gouv.fr/cti/CERTFR-2025-CTI-010
Apple, À propos des notifications de menace Apple et de la protection contre les logiciels espions mercenaires. https://support.apple.com/fr-fr/102174
