Ing. Calogero Bono
Apple a envoyé une nouvelle vague de notifications de menace à des utilisateurs de 99 pays, les avertissant d'une possible attaque par spyware mercenaire. En Allemagne, les notifications sont parvenues à des membres du Bundestag et d'autres personnalités publiques, et l'agence de cybersécurité BSI a demandé de considérer les appareils comme non sûrs. Les premières notifications remontent au 29 octobre. L'affaire compte parce qu'elle montre que ces outils sont toujours actifs et qu'il est difficile de savoir qui se cache derrière.
Quelques termes, avant d'entrer dans les faits. Spyware mercenaire est un logiciel de surveillance très coûteux, développé par des entreprises privées et utilisé contre un nombre restreint de personnes. Pegasus est le plus connu, produit par NSO Group. Zero-click désigne une attaque qui ne nécessite aucun geste de la victime, ni clic ni ouverture de fichier. BSI est l'agence fédérale allemande pour la cybersécurité. Mode Isolement (Lockdown Mode) est une fonction d'Apple qui réduit la surface d'attaque de l'appareil.
Que s'est-il passé avec les notifications d'Apple ?
Selon 9to5Mac, qui cite le Financial Times et TechCrunch, des politiciens et fonctionnaires allemands ont commencé à recevoir les alertes jeudi dernier. Le week-end, le BSI a publié un avis urgent.
Comme le rapporte HDblog, les autorités allemandes ont ouvert des enquêtes. Le message reçu par certains utilisateurs indiquait que la série d'alertes avait été envoyée dans 99 pays.
Que disent le gouvernement allemand et le BSI ?
Le BSI a expliqué avoir eu connaissance d'alertes reçues par des membres du Bundestag et d'autres personnes importantes non nommées. Pour TechCrunch, celui qui reçoit la notification « devrait donc présumer que son appareil peut avoir été compromis ».
Le porte-parole du gouvernement Stefan Kornelius, rapporte le Financial Times, a déclaré que l'exécutif prend « l'incident et l'alerte très au sérieux ». Il n'a pas dit qui avait été touché, ni si le chancelier Friedrich Merz en faisait partie.
Qu'est-ce qu'une attaque zero-click et pourquoi inquiète-t-elle ?
Toujours selon le Financial Times, les attaques auraient exploité une vulnérabilité zero-click. Il suffirait de connaître le numéro de téléphone de la cible. Il s'agit d'une information rapportée par la presse, non confirmée par Apple.
TechCrunch rappelle que ce type de spyware peut voler des messages, des données de localisation et d'autres informations sensibles. Comme il n'est pas nécessaire de cliquer sur quoi que ce soit, la prudence de l'utilisateur ne suffit pas à elle seule.
Qui d'autre a reçu l'alerte ?
Parmi les destinataires hors d'Allemagne figure Radwan Mortada, cinéaste de Beyrouth. Il a partagé l'alerte sur X, où Apple parlait d'« une autre attaque contre ton appareil ». Il avait déjà été ciblé par Pegasus en 2017 et en 2021.
Mortada dit ne pas savoir qui se cache derrière cette nouvelle tentative, ni si elle est liée à un documentaire d'investigation qu'il a réalisé.
Comment fonctionnent les notifications de menace d'Apple ?
La page officielle d'Apple explique que les alertes sont des signalements à haute confiance, même si aucune enquête ne peut offrir une certitude absolue. Apple se fonde uniquement sur des informations internes et n'explique pas ce qui déclenche ces alertes, pour ne pas aider les attaquants.
Depuis 2021, les alertes arrivent plusieurs fois par an et, selon Apple, ont touché des utilisateurs dans plus de 150 pays. Elles apparaissent sur l'iPhone, par e-mail et dans une bannière sur account.apple.com.
Que faire si tu reçois une notification ?
Apple recommande d'activer le Mode Isolement et de s'adresser à des experts, comme la Digital Security Helpline d'Access Now, disponible 24 heures sur 24. Pour vérifier que l'alerte est authentique, connecte-toi à account.apple.com et contrôle la bannière en haut de page.
Une notification réelle ne demande jamais de cliquer sur des liens, d'ouvrir des fichiers, d'installer des apps ou des profils, ni de fournir des mots de passe ou des codes de vérification.
Les bonnes pratiques valent pour tout le monde. Mets à jour tes appareils, utilise l'authentification à deux facteurs, installe les apps uniquement depuis l'App Store. Sur ce sujet, tu trouveras aussi les nouvelles règles de l'App Store.
Limites à connaître
On ne sait pas qui se cache derrière les attaques ni quels gouvernements les ont orchestrées. Apple n'attribue pas et ne confirme pas si un téléphone est réellement compromis. HDblog précise qu'il n'existe pas de lien avéré entre l'alerte et une compromission effective. Le détail zero-click vient d'un reportage de presse, pas d'Apple. Restent à éclaircir le résultat de l'enquête allemande, le nombre de personnes touchées et la vulnérabilité exploitée.
Ce qui change pour ceux qui travaillent avec le numérique
Pour une entreprise, la menace directe reste lointaine, puisque Apple elle-même affirme que la grande majorité des utilisateurs ne sera jamais ciblée. Le risque augmente si l'entreprise compte des profils exposés, comme des dirigeants, des avocats, des journalistes ou des personnes qui traitent des données sensibles. Il est utile de définir à l'avance qui contacter et comment isoler un appareil, par exemple avec une politique pour les téléphones professionnels. Ceux qui gèrent des comptes partagés peuvent partir des outils décrits dans le guide sur la Console Admin de Google Workspace.
Notre avis
Cette affaire met en lumière une fragilité du système. Les outils mercenaires sont vendus par des entreprises privées et, comme le rappelle TechCrunch, la police fédérale allemande aurait elle aussi acheté Pegasus en 2019. Reste une question gênante – ceux qui achètent ces outils les utilisent-ils contre d'autres ? Apple a raison d'alerter, mais l'opacité sur les critères de détection laisse les utilisateurs avec une alarme sans contexte. Le conseil du BSI de considérer le téléphone comme compromis est prudent, mais il pèse lourd pour ceux qui travaillent chaque jour avec cet appareil.
Questions fréquentes
Que sont les notifications de menace d'Apple ?
Ce sont des avertissements envoyés à ceux qu'Apple juge ciblés par un spyware mercenaire. Ils apparaissent sur l'iPhone, par e-mail et sur account.apple.com. Apple les définit comme des signalements à haute confiance.
Si je reçois la notification, mon iPhone est-il infecté ?
Ce n'est pas certain. Apple ne confirme pas si l'appareil est compromis. Le BSI allemand invite toutefois à supposer qu'il pourrait l'être et à agir immédiatement.
Comment savoir si l'alerte est authentique ?
Connecte-toi à account.apple.com et vérifie la bannière en haut de page. Une notification authentique ne demande jamais de cliquer, d'ouvrir un fichier, d'installer une app ou de saisir un mot de passe.
À quoi sert le Mode Isolement ?
Il offre une protection supplémentaire contre les attaques ciblées. Apple le recommande à ceux qui ont reçu la notification, et aussi à ceux qui soupçonnent d'être une cible sans l'avoir reçue.
Qui a été touché dans cette vague ?
Des membres du Bundestag et d'autres personnalités allemandes, ainsi que des utilisateurs dans 99 pays au total. Parmi eux, le cinéaste libanais Radwan Mortada. Qui se cache derrière les attaques n'est pas connu.
Ce qu'il faut suivre dans les prochaines semaines sur l'affaire spyware
L'enquête allemande et les démarches d'Apple diront si des détails techniques finiront par émerger. Pour l'instant, les faits sont peu nombreux.
- Suis les mises à jour du BSI et de l'enquête allemande pour voir si des responsables apparaissent.
- Consulte les notes de sécurité des mises à jour iOS, pour voir si elles citent la vulnérabilité exploitée.
- Signale aux collaborateurs exposés les canaux d'assistance, comme la Digital Security Helpline d'Access Now.
