Google découvre un piratage massif d’iPhone : les données de milliers de smartphones récupérées par des hackers

High-tech

SÉCURITÉ – Durant deux ans, des millions d’iPhone ont été la cible d’une cyberattaque d’ampleur, ont dévoilé des experts de Google. Il suffisait aux utilisateurs de surfer sur certains sites anodins, eux-mêmes piratés préalablement, pour télécharger à leur insu un logiciel malveillant qui accédait à toutes leurs données et photos.

Longtemps le point fort d’Apple et l’un de ses arguments forts, la sécurité des iPhone est un peu mise à mal ces derniers temps. Les experts en sécurité de Project Zero de Google ont ainsi découvert qu'une opération de piratage avait ciblé les smartphones à la pomme pendant au moins deux ans. Cela fait plusieurs semaines qu'ils ne cessent de faire remonter des failles dans les produits de la firme de Cupertino, après avoir notamment mis en lumière celle permettant le vol de données via l'appli Messages.

Il suffisait à l’utilisateur de surfer sur certains sites internet pour qu’un logiciel malveillant s’installe sur son iPhone et accède aux photos, messages et fichiers, à la géolocalisation, aux mails et autres données. Sur leur blog, les experts de Google expliquent que lesdits sites –dont ils ne donnent pas les noms mais qui étaient fréquentés par des milliers de visiteurs chaque semaine- ont été initialement piratés et ont ensuite hébergé des logiciels d’attaque à leur insu. "Une simple visite sur l'un des sites piratés suffisait au serveur d'exploitation pour attaquer votre appareil, et, en cas de succès, installer un programme de surveillance", explique Ian Beer, l’un des membres du Projet Zero.

Même des messages sur des services cryptés comme WhatsApp ou Telegram ont ainsi pu être téléchargés. Hangouts, la messagerie instantanée de Google, ou des services comme Gmail et Maps, n’ont pas résisté au piratage des données.

Lire aussi

Aucun moyen de savoir si vous avez été piraté

Le malware a volontairement ciblé les iPhone après en avoir débusqué des vulnérabilités, notamment dans le navigateur Safari, propre à iOS. Cela permettait, une fois le logiciel embarqué dans l’iPhone, de transmettre plus facilement les données toutes les 60 secondes. Le trousseau contenant les mots de passe a également pu être accessible. Mais la mise à mal du logiciel était aussi très facile, quoique involontairement. Une fois l’iPhone éteint puis relancé, ce dernier se trouvait en effet supprimé.

Plusieurs centaines de millions d’iPhone, en France et à travers le monde, tournant sous le système d’exploitation iOS 10 (lancé en septembre 2016) puis les suivants, ont ainsi pu être hackés. Apple a été prévenu en février dernier par la cellule de Google et a procédé rapidement au déploiement d’un correctif iOS 12.1. 

En vidéo

Fiabilité des smartphones : Apple et Samsung dépassés par les chinois ?

Selon les experts, il n’y a cependant aucun moyen pour les utilisateurs d’iPhone de savoir si le logiciel malveillant a pu être installé sur leur appareil et dérober des informations, ni si un type d'utilisateur était particulièrement visé. "Compte tenu de l'ampleur des informations volées, les hackers pourraient néanmoins conserver un accès persistant à divers comptes et services en utilisant les jetons d'authentification volés du trousseau, même après avoir perdu l'accès à l'appareil", souligne Ian Beer. Les informations ont également été transférées sur le serveur sans être cryptées, ajoute Projet Zero. Elles peuvent donc toujours être utilisées.

Une mauvaise nouvelle pour Apple alors que la firme a annoncé la présentation de ses prochains iPhone pour le mardi 10 septembre (à suivre en direct sur notre site). De grosses améliorations autour de la sécurité sont également à attendre dans iOS 13, le prochain système d’exploitation des iPhone qui sera lancé en même temps.

Sur le même sujet

Et aussi

Lire et commenter