Al Jazeera affirme qu'une campagne de logiciels malveillants clandestine liée à l'entreprise israélienne Candiru a infecté 45 appareils appartenant à ses journalistes et à son personnel, et en a extrait des données sans aucune action de la part des utilisateurs. Cette révélation est un exemple frappant de la manière dont les logiciels espions « zéro-clic » sur lesquels les journalistes comptent peuvent être retournés contre eux, et de la raison pour laquelle la prudence ordinaire ne suffit souvent pas face à des attaquants bien financés.

Les détails ci-dessous proviennent d'un rapport résumant la déclaration d'Al Jazeera. Lorsque les sources publiques sont limitées, nous le précisons.

Ce qu'Al Jazeera affirme s'être produit

Selon le rapport, Al Jazeera a décrit une attaque « zéro-clic » liée à Candiru qui a compromis 45 appareils de ses journalistes. Le logiciel malveillant aurait exfiltré des données sans aucune interaction de l'utilisateur. Autrement dit, les personnes concernées n'ont pas eu besoin d'ouvrir un fichier, de toucher un lien ou d'approuver quoi que ce soit pour que l'infection s'installe.

Le résumé source ne fournit pas de précisions supplémentaires, comme les systèmes d'exploitation concernés, les vulnérabilités exploitées, la période pendant laquelle les infections se sont produites ou qui a commandité la campagne. Nous ne spéculerons pas sur ces détails. Les lecteurs doivent considérer le chiffre de 45 appareils comme l'affirmation rapportée par Al Jazeera et rester attentifs aux suites techniques publiées par le diffuseur ou par des chercheurs indépendants.

Comment fonctionne un logiciel espion « zéro-clic », sans aucun toucher

La plupart des gens ont appris à éviter les liens suspects et les pièces jointes inattendues. Ce conseil vise les attaques « à un clic », où la victime doit faire quelque chose. Les logiciels espions « zéro-clic » suppriment cette étape.

En termes généraux, les attaques « zéro-clic » exploitent des failles dans des logiciels qui traitent automatiquement les données entrantes, comme les applications de messagerie, les analyseurs de médias ou les services réseau. Si un attaquant trouve une vulnérabilité dans ce traitement automatique, un message ou un paquet de données spécialement conçu peut déclencher l'exécution de code sur le téléphone ou l'ordinateur avant que le propriétaire ne voie quoi que ce soit. Il peut n'y avoir aucune notification, aucune fenêtre contextuelle étrange et aucun signe évident par la suite.

Une fois installé, ce type de logiciel espion peut généralement servir à lire les messages, collecter des fichiers et rassembler d'autres données depuis l'appareil. Le rapport d'Al Jazeera sur l'exfiltration de données correspond à ce schéma.

Le point essentiel pour les lecteurs non techniques : il ne s'agit pas d'un échec du jugement de l'utilisateur. Un comportement prudent ne peut pas totalement empêcher une attaque qui ne requiert aucun comportement du tout.

Pourquoi les journalistes sont des cibles de premier choix pour les outils de type Candiru

Candiru est décrite comme une entreprise israélienne, et les outils d'entreprises de ce type sont souvent qualifiés de logiciels espions mercenaires : des capacités de surveillance puissantes développées par des fournisseurs privés et vendues à des clients. Ces outils sont coûteux et complexes à concevoir, ce qui explique pourquoi ils tendent à viser un petit nombre de cibles de grande valeur plutôt que le grand public.

Les journalistes correspondent à ce profil pour des raisons évidentes. Les reporters détiennent des éléments sensibles : l'identité de leurs sources, des conclusions non publiées et des communications privées avec des personnes qui peuvent être en danger. Compromettre les appareils d'une rédaction peut exposer tout cela d'un seul coup. Un seul téléphone infecté peut révéler non seulement l'activité du journaliste lui-même, mais aussi les contacts et les confidences de toutes les personnes avec lesquelles il s'entretient.

L'ampleur rapportée ici, 45 appareils au sein d'une seule organisation, suggère une campagne visant une institution entière plutôt qu'un individu. Cela compte pour les organisations de presse, les groupes de défense des droits humains et tout environnement de travail où plusieurs personnes manipulent des informations sensibles.

La pression de la surveillance sur le journalisme se manifeste aussi sous d'autres formes. Notre couverture de la prolongation de la coupure d'Internet au Cachemire administré par le Pakistan, s'appuyant sur des reportages d'Al Jazeera, montre comment les restrictions de communication peuvent aggraver les risques auxquels les gens font face lorsqu'ils tentent de partager des informations.

Ce qui réduit réellement votre exposition

Aucune mesure unique ne rend un appareil immunisé contre un attaquant déterminé et bien doté en ressources. Mais certaines mesures augmentent sensiblement le coût et la difficulté d'une attaque.

  • Installez rapidement les mises à jour du système d'exploitation et des applications. Les attaques « zéro-clic » dépendent de failles non corrigées ou non divulguées. Les mises à jour de sécurité colmatent les trous connus, et les retards les laissent ouverts.
  • Activez le mode Isolement (Lockdown Mode) lorsqu'il est disponible. Certaines plateformes proposent un paramètre de protection extrême qui réduit la surface d'attaque en limitant certaines fonctionnalités. Il échange de la commodité contre de la sécurité, ce qui peut être un compromis raisonnable pour les personnes à risque élevé.
  • Redémarrez régulièrement vos appareils. Certains logiciels malveillants ne survivent pas à un redémarrage, de sorte que des redémarrages périodiques peuvent forcer un attaquant à réinfecter.
  • Réduisez ce qui est stocké sur votre appareil. Les messages éphémères et la suppression régulière limitent ce qu'un intrus peut collecter.
  • Séparez les travaux sensibles. L'utilisation d'un appareil dédié aux communications les plus sensibles peut contenir les dégâts si un autre appareil est compromis.
  • Signalez toute compromission suspectée. Si vous travaillez dans une organisation de presse ou un groupe de plaidoyer, faites part de vos inquiétudes à votre équipe de sécurité ou à un spécialiste en sécurité numérique plutôt que de tenter d'enquêter seul.

Ce que cela signifie pour vous

La plupart des lecteurs ont peu de chances d'être ciblés par des outils comme ceux de Candiru. Mais les leçons s'appliquent largement. Garder ses appareils à jour est la seule habitude la plus utile, et elle protège aussi contre bien d'autres menaces.

Si vous êtes journaliste, militant, avocat ou une autre personne susceptible d'attirer l'intérêt d'un État, partez du principe que votre risque est plus élevé et agissez en conséquence : mettez à jour rapidement, utilisez les modes de protection les plus robustes offerts par votre appareil et limitez les données sensibles sur votre téléphone.

Il vaut aussi la peine d'être clair sur ce qu'un VPN fait et ne fait pas. Un VPN chiffre votre trafic réseau et masque votre adresse IP aux sites et aux réseaux locaux. Il n'arrête pas un logiciel espion déjà en cours d'exécution sur votre appareil, et il ne peut pas empêcher un exploit « zéro-clic » qui cible le logiciel du téléphone lui-même. Les VPN restent utiles pour la confidentialité réseau, mais ils ne constituent pas une défense contre cette catégorie d'attaque.

Points clés à retenir

La révélation rapportée par Al Jazeera d'une campagne liée à Candiru contre 45 appareils rappelle que les logiciels espions « zéro-clic » auxquels les journalistes font face peuvent contourner même les utilisateurs prudents. Considérez les détails comme évolutifs, car le résumé public est limité.

Pour toute personne à risque élevé : appliquez les mises à jour du système d'exploitation dès qu'elles sont disponibles, activez le mode Isolement si votre appareil le prend en charge, redémarrez régulièrement, stockez moins de données sensibles et comprenez qu'un VPN ne vous protégera pas contre un logiciel espion présent sur l'appareil lui-même.