Sekoia : de faux sites web servent à espionner iPhone et Android

Le déroulement des attaques

Les pirates ont créé des sites imitant de vrais sites pour attirer les internautes. L'un d'eux copiait un site lié au 250e anniversaire de l'indépendance des États-Unis, avec une adresse proche de l'original et du code malveillant qui s'exécute dès l'ouverture de la page. D'autres leurres évoquaient la guerre entre la Russie et l'Ukraine, et un faux site reproduisait la page officielle de l'hôtel Raffles à Londres. De fausses invitations de calendrier, des notifications d'événements et des messages soignés ont aussi servi à pousser les cibles à ouvrir des liens.

L'attaque se déroule en plusieurs étapes. Du code JavaScript analyse le navigateur, le type d'appareil et le système d'exploitation. Selon les informations recueillies, les assaillants choisissent l'une de trois chaînes d'exploitation. Certaines attaques recourent à la technique dite « zéro clic » : la victime n'a pas besoin de cliquer sur un lien ni de télécharger un fichier une fois l'attaque arrivée sur l'appareil.

Pourquoi d'anciennes failles restent dangereuses

Les campagnes reposent sur des failles « N-day », c'est-à-dire connues et déjà corrigées, mais encore exploitables sur les appareils non mis à jour. Reporter une mise à jour peut donc laisser un utilisateur exposé alors qu'un correctif existe.

Les recommandations sont claires : installer sans attendre la dernière version d'iOS ou d'Android, mettre à jour applications et navigateur, éviter les liens de messages inattendus ou d'invitations inconnues, et vérifier l'adresse du site avant de saisir des données personnelles, car une page factice peut être identique à l'originale. Retarder une mise à jour ne revient pas seulement à manquer de nouvelles fonctions : cela peut laisser l'appareil ouvert à des attaques connues, utilisées pour l'espionnage et le vol de données.