Un utilisateur d’iPhone aurait été infecté par un logiciel espion simplement en faisant défiler son fil au-delà d’une publicité Instagram, sans cliquer sur quoi que ce soit.
Des chercheurs de l’entreprise de sécurité mobile iVerify et de la société de sécurité des sites web Report URI ont documenté des campagnes qui détournent l’infrastructure utilisée par la navigation web ordinaire pour cibler des iPhone vulnérables.
Dans un cas rapporté par Axios, l’iPhone d’un employé d’un établissement financier a été infecté après que celui-ci a fait défiler son fil au-delà d’une publicité pour le football sur Instagram, sans, semble-t-il, cliquer dessus. Cet incident met en lumière une réalité préoccupante : des attaques sophistiquées à l’aide de logiciels espions peuvent parfois réussir sans que les victimes cliquent sur des liens suspects ou téléchargent des fichiers malveillants.
Comment fonctionnent les attaques par logiciel espion
La recherche décrit deux méthodes d’attaque distinctes : le détournement par DeadTag de noms de domaine de sites web arrivés à expiration et un autre incident impliquant une publicité Instagram malveillante.
DeadTag, étudié par Report URI, implique que des attaquants achètent des noms de domaine arrivés à expiration que des sites web légitimes référencent toujours pour leurs scripts tiers, comme des outils d’analyse. En prenant le contrôle de ces domaines, les attaquants peuvent diffuser du code malveillant aux visiteurs.
Les chercheurs ont établi un lien entre cette opération et des kits d’exploitation, notamment Coruna et DarkSword, qui combinent plusieurs vulnérabilités pour compromettre des appareils iOS vulnérables. Une exploitation réussie peut permettre aux attaquants de contourner les protections de sécurité et de déployer un logiciel espion capable d’accéder à des informations sensibles, notamment aux identifiants enregistrés et aux données liées aux cryptomonnaies.
L’autre incident, sur Instagram, a été étudié par iVerify. Il impliquait l’employé d’un établissement financier dont l’iPhone aurait été infecté après avoir fait défiler son fil au-delà d’une publicité pour la Coupe du monde. Les chercheurs ont établi un lien entre l’attaque et une variante de DarkSword, et la victime n’aurait pas cliqué sur la publicité.
La différence tient à la manière dont le contenu malveillant atteint les victimes. DeadTag exploite des dépendances abandonnées de sites web tiers, tandis que l’incident sur Instagram impliquait du contenu publicitaire malveillant.
Les deux cas illustrent comment des attaquants peuvent potentiellement compromettre des appareils vulnérables par l’intermédiaire de contenus qui se chargent pendant une navigation ordinaire, sans que l’utilisateur ait besoin d’interagir avec un lien suspect.
Quand ne rien faire devient un risque pour la sécurité
De nombreuses recommandations en matière de cybersécurité portent sur ce que les utilisateurs devraient ou ne devraient pas faire en ligne.
Lorsqu’il s’agit de logiciels espions, les conseils habituels consistent à éviter les liens d’hameçonnage, un moyen courant pour les attaquants de piéger les victimes et de les exposer à des logiciels malveillants.
Cependant, les acteurs malveillants continuent de s’adapter, et les techniques d’attaque utilisées dans ces cas — la publicité malveillante et les attaques au passage — ne sont pas nouvelles.
Ce qui rend ces techniques préoccupantes, c’est que, lorsqu’elles sont combinées, elles contournent souvent bon nombre des recommandations de cybersécurité et peuvent compromettre même les utilisateurs les plus prudents.
Cela met en évidence les limites des conseils qui font reposer trop de responsabilité sur les utilisateurs pour repérer les activités suspectes.
Lorsque du code malveillant se charge automatiquement, l’issue peut dépendre des vulnérabilités de l’appareil et des faiblesses des systèmes qui diffusent le contenu, et pas seulement de la décision risquée ou non d’un utilisateur.
Comment les utilisateurs d’iPhone peuvent réduire les risques
Même si ces attaques ne nécessitent pas forcément que les victimes cliquent sur des liens malveillants, les utilisateurs d’iPhone peuvent prendre certaines mesures pour réduire leur exposition.
Pour commencer, le logiciel malveillant vérifie la version d’iOS d’un appareil afin de déterminer quels exploits pourraient fonctionner. Les campagnes documentées ciblent principalement les versions anciennes et vulnérables, même si les chercheurs ont observé des tentatives d’adaptation des outils à iOS 26 et 27, une grande partie de ce code plus récent étant, semble-t-il, non fonctionnelle.
Les navigateurs modernes intègrent également des fonctions de sécurité conçues pour bloquer les sites web malveillants connus et rendre leur exploitation plus difficile. Safari, par exemple, utilise Safe Browsing pour bloquer les domaines malveillants identifiés, tandis que les protections intégrées au navigateur et au système d’exploitation peuvent empêcher certaines attaques au passage avant qu’elles ne réussissent.
Cependant, ces mesures ne peuvent pas garantir une protection contre chaque nouvel exploit.
La mesure la plus efficace consiste à maintenir iOS et les navigateurs à jour afin que les vulnérabilités connues soient corrigées. Les utilisateurs d’iPhone davantage exposés aux attaques ciblées peuvent également envisager le mode Isolement d’Apple, qui restreint certaines fonctionnalités dont les exploits sophistiqués peuvent tirer parti.
Ces précautions ne peuvent pas éliminer toutes les menaces, mais elles peuvent réduire les possibilités offertes aux attaquants. Les incidents rapportés montrent que la sécurité dépend de bien plus que de l’évitement des liens suspects : même des plateformes familières et des sites web légitimes peuvent devenir des vecteurs d’attaque lorsque des vulnérabilités restent exploitables.
Autre actualité : 1Password a ajouté une fonctionnalité qui permet aux agents d’IA de se connecter à des comptes en ligne sans exposer les mots de passe des utilisateurs, même si des inquiétudes subsistent quant à ce à quoi ces agents peuvent accéder et à ce qu’ils peuvent faire après leur connexion.