Changer de téléphone est le moment le plus risqué, et Clone2Pwn le prouve

Quelle appli de votre téléphone manipule les données les plus sensibles que vous possédez ? Sans doute pas celle de votre banque. C'est probablement celle que vous ouvrez une fois tous les quelques ans, l'esprit ailleurs, en déballant un nouvel appareil: l'outil « copier tout mon ancien téléphone ».

Cet outil vient de subir un audit musclé. Des chercheurs de la TU Graz et du centre autrichien A-SIT ont analysé les applis de migration de sept constructeurs: Google, Samsung, Vivo, Xiaomi, Oppo, Huawei et Honor. Selon TU Graz, ils ont trouvé dans chacune des vulnérabilités permettant à un attaquant situé à portée du Wi-Fi d'espionner ou de manipuler le transfert. En intérieur, cette portée est d'environ 20 à 45 mètres, et le matériel coûtait moins de 100 euros. Ces travaux, baptisés Clone2Pwn, ont été présentés à ESORICS 2026.

Parmi les données exposées figuraient des SMS, des contacts, des photos, des données de santé, des identifiants Wi-Fi enregistrés et des mots de passe d'applications. Dans certains cas, des paquets d'applications altérés pouvaient injecter un logiciel malveillant dans le nouveau téléphone. Les sept constructeurs ont depuis publié des mises à jour de sécurité et confirmé la gravité des problèmes, dont cinq classés comme élevés.

La commodité est la faille

Ces outils servent à déplacer presque tout le contenu de votre téléphone d'un seul coup, sans serveur externe, via une liaison Wi-Fi directe entre deux appareils. C'est une excellente expérience utilisateur. C'est aussi, par conception, un flux concentré des données les plus précieuses que vous ayez, qui circule par ondes radio pour quiconque est assez proche pour écouter. Quand les chercheurs disent que presque tout le contenu d'un téléphone est transféré, ce n'est pas une note de bas de page. C'est le modèle de menace.

À notre avis, le secteur a traité ces applis comme une fonction d'accueil sympathique, et non comme un logiciel critique pour la sécurité. Personne ne livre un module de paiement avec cet état d'esprit. Pourtant, l'appli de migration manipule les clés de tout cela et, selon les chercheurs, elle est préinstallée sur presque tous les appareils Android.

« Les sept »: le chiffre qui compte

Douze milliards de téléchargements, un total que rapporte Tech Xplore pour les applis examinées, font un bon titre, mais le chiffre le plus parlant est sept sur sept. Il ne s'agit pas d'un constructeur négligent. Cela ressemble à un angle mort de toute la catégorie: tous ont construit le même type d'outil, et tous l'ont rendu vulnérable. Cela traduit une habitude de conception partagée, pas un bogue isolé. C'est, selon nous, la partie dérangeante, et c'est pourquoi nous nous méfierions de l'équation « corrigé » = « réglé ».

Pour être juste, les constructeurs méritent un certain crédit. L'équipe a suivi la divulgation responsable, les constructeurs ont confirmé les problèmes, et tous ont livré des correctifs. C'est ainsi que cela doit fonctionner. Mais, à notre avis, un correctif ne vaut pas une revue de sécurité avant le lancement, et c'est cette habitude que nous aimerions voir changer.

Où le risque est réel, et où il ne l'est pas

N'exagérons pas. L'attaque exige la proximité, et rien dans la documentation n'indique une exploitation de masse. Pour la plupart des gens qui changent de téléphone chez eux, le risque pratique est sans doute modeste. Les chercheurs eux-mêmes pointent les lieux où se font chaque jour de nombreux transferts, comme les magasins d'électronique et les boutiques d'opérateurs. Si un employé vous propose de transférer vos données à votre place, c'est précisément le genre de cadre qu'ils signalent comme particulièrement vulnérable.

Il y a aussi un coût caché: dans certains cas, le correctif peut exiger la mise à jour de tout le système d'exploitation, pas seulement de l'appli. Nous soupçonnons que cela complique surtout la vie de ceux qui ont des téléphones anciens et négligés, c'est-à-dire ceux qui sont le plus susceptibles d'en changer.

Que faire avant votre prochain changement de téléphone

Le conseil des chercheurs est simple, et nous le suivrions à la lettre: assurez-vous que la dernière version de l'appli de migration est installée sur les deux appareils et installez toutes les mises à jour pertinentes, y compris celle du système si nécessaire. Faites-le avant de commencer, pas après. Si possible, effectuez le transfert chez vous plutôt que dans un magasin bondé.

Notre verdict: Clone2Pwn n'est pas une raison d'éviter ces applis, car elles restent le moyen le plus simple de déménager numériquement. C'est une raison pour les constructeurs de leur appliquer la même modélisation des menaces, les mêmes audits et la même discipline de mise à jour qu'à un portefeuille numérique ou à un gestionnaire de mots de passe. Le moment où vous changez de téléphone devrait être le plus soigneusement protégé de votre vie numérique. Aujourd'hui, c'est l'un des moins protégés.