La faille des appels Telegram prouve que la messagerie est la vraie porte d'entrée

Quelle application de votre téléphone serait, selon vous, prête à affronter des inconnus ? Sans doute celle conçue pour parler à des inconnus toute la journée. C'est précisément là que le bât blesse: une messagerie doit accepter des appels, des fichiers et des données venant de personnes que vous n'avez jamais rencontrées, et cette semaine Telegram a montré ce qui arrive quand cette porte reste entrouverte.

Selon The Hacker News, la société de sécurité NebuSec a démontré une exécution de code via un appel vocal décroché dans Telegram pour Android, et la faille a été corrigée dans la version 12.10.4. D'autres médias, comme Total Security, indiquent que le bug pouvait être combiné à deux autres vulnérabilités pour prendre le contrôle total du téléphone de la victime dès qu'elle décrochait. Le site portugais Tugatech ajoute qu'il était présent dans l'application depuis quatre ans sans avoir été détecté.

Il faut rester prudent sur ce que la documentation ne dit pas. Les extraits dont nous disposons ne précisent pas si quelqu'un a exploité cette faille dans la nature, et nous ne spéculerons pas. Ils décrivent en revanche une preuve de concept dans laquelle, comme le résume Space Money, la personne n'avait rien d'autre à faire que d'accepter l'appel.

Le plus inquiétant, c'est le caractère banal du déclencheur

La plupart d'entre nous imaginent le piratage d'un téléphone comme la suite d'une bêtise: toucher un lien douteux, installer un APK suspect, saisir un mot de passe sur une fausse page. Cette faille fait voler ce schéma en éclats. Décrocher un appel est le geste le plus naturel d'un téléphone, et aucune « prudence » ne protège d'un bouton sur lequel on est censé appuyer.

Cela change le conseil. Pendant des années, les recommandations de sécurité se résumaient à la vigilance de l'utilisateur. Ici, la vigilance ne sert presque à rien, et la seule vraie défense se situe du côté du logiciel: le correctif.

Les messageries sont le nouveau périmètre, que cela plaise ou non

Pensez à ce que fait une messagerie moderne: elle traite des images, des liens, des flux vocaux et des données d'établissement d'appel, dont une bonne part provient d'expéditeurs non fiables. Chacun de ces éléments est du code qui peut contenir une erreur. À notre avis, cela fait des applications de discussion une cible plus attrayante que le système d'exploitation lui-même, car elles sont installées partout, toujours actives et ouvertes à quiconque connaît votre numéro ou votre nom d'utilisateur.

Il y a aussi un contexte plus large. InfoMoney rapporte que l'intelligence artificielle met au jour des failles logicielles si vite que les ingénieurs courent pour les corriger avant que les pirates ne les exploitent, Google ayant corrigé cette année plus de failles graves que durant les huit années précédentes réunies. Nous ne pouvons pas dire qu'une IA a trouvé ce bug de Telegram, et rien dans la documentation ne le suggère. Mais il est raisonnable de s'attendre à davantage de divulgations de ce type, pas à moins, et un bug vieux de quatre ans qui apparaît maintenant peut signaler que le vieux code est examiné de plus près que jamais.

Mettez à jour dès maintenant et cessez de juger les applications sur leur réputation

La page d'assistance de Telegram le décrit comme une messagerie basée sur le cloud, axée sur la sécurité et la rapidité. C'est l'argument de vente, et un bug comme celui-ci n'a pas grand-chose à voir avec lui. La réputation dit comment une entreprise communique; le numéro de version dit si vous êtes exposé.

L'autre volet de l'histoire, ce sont les habitudes de mise à jour d'Android. Android Authority souligne que 43,6 % des appareils actifs fonctionnent encore sous Android 13 ou une version antérieure. Ce correctif, lui, a toutefois été livré dans l'application elle-même (version 12.10.4), et non dans une version du système d'exploitation. Selon notre lecture, cela signifie que la seule chose qui dépend de vous tient en quelques pressions sur l'écran, pas dans l'attente du fabricant de votre téléphone.

Notre recommandation est donc simple. Vérifiez que Telegram pour Android est en version 12.10.4 ou ultérieure. Activez les mises à jour automatiques de vos messageries, qui sont les applications les plus exposées aux inconnus. Et si vous n'avez pas besoin des appels vocaux dans une application donnée, demandez-vous si vous voulez que cette fonction accepte des connexions.

Notre verdict: la leçon n'est pas que « Telegram n'est pas sûr ». N'importe quelle messagerie dotée d'appels pourrait avoir un bug de ce genre. La leçon, c'est que faire confiance à une marque est une stratégie plus fragile que de mettre à jour dès le premier jour. D'abord le correctif, l'admiration de la réputation viendra après.