De nouvelles recherches partagées avec Axios suggèrent que les pirates trouvent de nouveaux moyens d'infecter les iPhone avec des logiciels espions, même lorsque les victimes ne cliquent jamais sur un lien malveillant. Cette découverte révèle une tendance inquiétante dans les logiciels espions iPhone sans clic, où le simple chargement d'une page web peut suffire à mettre un appareil en danger.

Les détails disponibles dans le rapport sont limités, cet article s'en tient donc à ce qui a été publié et explique ce que cela signifie en termes pratiques.

Comment la simple navigation peut infecter un iPhone

L'affirmation centrale de la recherche est que les pirates peuvent livrer des logiciels espions aux iPhone sans que la victime clique sur un lien malveillant. Dans une attaque de phishing classique, l'utilisateur doit effectuer une action : appuyer sur un lien, ouvrir un fichier ou approuver une invite. Ici, cette étape est apparemment supprimée du processus.

Cela compte parce que la plupart des conseils de sécurité se concentrent sur le comportement de l'utilisateur : ne cliquez pas sur des liens suspects, n'ouvrez pas de pièces jointes inconnues. Ces habitudes restent utiles, mais elles offrent moins de protection lorsqu'une attaque est conçue pour fonctionner en arrière-plan pendant que quelqu'un navigue normalement.

Le navigateur est un endroit naturel pour ce type d'attaque. Il traite constamment du contenu non fiable provenant de tout Internet, y compris des pages, des scripts, des images et des publicités. Si un attaquant trouve une faille dans la façon dont ce contenu est traité, une page piégée peut exécuter du code sur l'appareil. Nous avons couvert la façon dont les attaquants modifient la livraison basée sur le navigateur dans notre rapport sur les pirates qui assemblent désormais des logiciels malveillants dans le navigateur, et le même principe s'applique ici : le navigateur lui-même devient la voie de livraison.

Le résumé que nous avons examiné ne nomme pas de vulnérabilités spécifiques, de groupes de menaces ou de victimes, nous ne spéculerons donc pas à leur sujet.

Qui est le plus à risque face à ce logiciel espion

Ce type de logiciel espion a historiquement été associé à la surveillance ciblée plutôt qu'à l'infection de masse, mais le résumé de la recherche ne précise pas qui est ciblé dans ce cas. Nous ne pouvons pas faire d'affirmations sur des victimes spécifiques.

Ce que l'on peut dire, c'est que toute personne qui navigue sur le web sur un iPhone est exposée à la catégorie générale de risque, car le chemin d'attaque passe par la navigation ordinaire. Les personnes à profil élevé, telles que les journalistes, les militants, les cadres et le personnel gouvernemental, ont généralement plus de raisons de prendre des précautions supplémentaires, car elles sont plus susceptibles d'intéresser des attaquants disposant de ressources importantes.

Pour la plupart des gens, le risque pratique est probablement plus faible que pour ces groupes, mais la leçon est la même : l'hypothèse la plus sûre est qu'un appareil non corrigé est un appareil plus vulnérable.

Ce qu'un VPN arrête et n'arrête pas

C'est ici que les attentes doivent être réalistes. Un VPN chiffre le trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. C'est précieux pour la confidentialité sur le Wi-Fi public et pour limiter ce que votre fournisseur d'accès Internet peut voir.

Mais un VPN ne corrige pas une vulnérabilité dans votre navigateur ou votre système d'exploitation. Si une page malveillante exploite une faille dans la façon dont votre iPhone traite le contenu web, l'exploit arrive par la connexion que vous avez choisie d'établir, que cette connexion soit chiffrée ou non. Le tunnel VPN transporte la page vers votre appareil comme il transporterait toute autre page.

Un VPN peut offrir une aide indirecte s'il inclut un blocage optionnel des domaines malveillants connus, bien que cela dépende du service et ne remplace pas les mises à jour. Le DNS chiffré, expliqué dans notre entrée de glossaire sur DNS over HTTPS, garde les recherches privées vis-à-vis des tiers, mais il n'empêche pas non plus un exploit de navigateur.

En bref : un VPN est un outil de confidentialité, pas une défense contre les exploits sans clic. Les mises à jour logicielles sont la principale défense. Pour un exemple comparable de la façon dont les attaquants enchaînent les failles de navigateur, consultez notre couverture des pirates chinois exploitant des zero-days Chrome et Windows.

Étapes pour protéger votre iPhone dès maintenant

Vous ne pouvez pas contrôler si une faille existe, mais vous pouvez réduire la fenêtre pendant laquelle elle est utile à un attaquant.

  • Installez la dernière mise à jour iOS. Les correctifs de sécurité sont la protection la plus directe contre les exploits basés sur le navigateur.
  • Activez les mises à jour automatiques. Allez dans Réglages, puis Général, puis Mise à jour logicielle, et activez les mises à jour automatiques pour ne pas prendre de retard.
  • Envisagez le mode Isolement si vous êtes à haut risque. Le mode Isolement d'Apple est un réglage optionnel qui réduit la surface d'attaque de l'appareil. Il limite certaines fonctionnalités, il convient donc aux personnes ayant un profil de menace élevé plutôt qu'à tout le monde.
  • Redémarrez votre iPhone occasionnellement. C'est une habitude d'hygiène générale et non une garantie d'élimination.
  • Gardez vos applications à jour et supprimez celles que vous n'utilisez pas.

Ce que cela signifie pour vous

Le point clé est que « ne cliquez pas sur des liens suspects » ne suffit plus à lui seul. Si la recherche est correcte, la navigation ordinaire peut faire partie de la chaîne d'attaque. Cela ne signifie pas que vous devez arrêter d'utiliser votre téléphone ou paniquer. Cela signifie que vos habitudes de mise à jour comptent plus que jamais, et que vous devriez considérer un VPN comme une couche de confidentialité plutôt que comme un bouclier contre les logiciels espions.

Conclusion

Les logiciels espions iPhone sans clic via la navigation web rappellent que le navigateur est l'une des parties les plus exposées de tout appareil. Installez la dernière mise à jour iOS dès aujourd'hui, activez les mises à jour automatiques et activez le mode Isolement si vous pensez pouvoir être une cible. Pour plus de contexte sur le fonctionnement des attaques basées sur le navigateur, lisez nos articles sur l'assemblage de logiciels malveillants dans le navigateur et la campagne d'exploitation de zero-days Chrome.