L’alerte du BSI le rappelle : même les iPhone des VIP ne sont pas invulnérables

La réputation de sécurité de l’iPhone est-elle un fait ou une habitude de pensée ? L’Allemagne vient de nous donner une raison de poser la question. Son agence fédérale de cybersécurité a averti des députés du Bundestag et des membres du gouvernement d’un possible logiciel espion sur leur iPhone, et ce sont les personnes censées être les mieux protégées qui reçoivent le courrier.

Ce que l’on sait, et ce que l’on ignore

Selon le reportage de l’ARD repris par Freie Presse, le BSI a averti des parlementaires et des membres du gouvernement d’une possible attaque par logiciel espion. Le déclencheur: une notification de menace d’Apple. Le ministre du Numérique, Karsten Wildberger, l’a confirmé en évoquant « un signalement d’Apple selon lequel certains appareils auraient pu être compromis par ce que l’on appelle un logiciel espion ». Le BSI, a-t-il dit, a réagi « super vite » et écrit à toutes les personnes concernées.

Au-delà, la documentation est mince. M. Wildberger a jugé « purement spéculatif » ce qui se passe exactement et a dit qu’il fallait attendre. Der Spiegel relève qu’il n’a pas précisé qui pourrait être à l’origine des attaques. Donc: pas d’attaquant identifié, pas de nombre confirmé d’infections, pas de faille nommée. Quiconque affirme le contraire avance à l’aveugle.

L’alerte, c’est le système qui fonctionne, et c’est tout l’enjeu

À l’inverse, l’affaire ressemble moins à un échec qu’à une alarme qui fait son travail. Apple a signalé un problème possible, et le BSI affirme avoir écrit rapidement à tous les intéressés avec des consignes. C’est la bonne version d’une mauvaise situation.

Mais cela fait aussi tomber un mythe confortable. Le logiciel espion, tel que le décrit l’article de l’ARD, collecte messages, photos, position, appels et même enregistrements du microphone, et des États l’utilisent aussi. Un téléphone n’a pas besoin d’être utilisé avec négligence pour devenir une cible; il suffit qu’il appartienne à quelqu’un d’intéressant. C’est le cas des responsables politiques, et nous pensons qu’ils ne seront pas le dernier groupe à recevoir ce type d’avis.

Notre avis: « les iPhone n’attrapent pas de virus » a toujours été une simplification digne d’un slogan publicitaire. La plateforme est solide, mais solide ne veut pas dire invulnérable, et une notification de menace nous semble un aveu d’Apple que le risque est réel. Précisons toutefois que rien n’est encore confirmé: l’avertissement porte sur une compromission possible, pas sur des infections avérées.

L’utilisateur ordinaire n’a pas à paniquer, mais pas à hausser les épaules non plus

Les logiciels espions ciblés visent généralement quelques personnes; statistiquement, la plupart des lecteurs ne sont donc pas les victimes visées. C’est notre raisonnement, pas un chiffre issu de la documentation. Pourtant, les mêmes sources décrivent comment arrive un logiciel espion: pièces jointes d’e-mails piégées, faux liens, applications de provenance douteuse et, parfois, failles dans des logiciels obsolètes. Ces voies ne sont pas réservées aux responsables politiques.

La réponse raisonnable est donc simple et peu coûteuse:

• Installez rapidement les mises à jour. Un logiciel ancien est l’une des portes d’entrée documentées, et la fermer ne vous coûte rien.
• Considérez les liens et pièces jointes inattendus comme hostiles, même s’ils viennent d’une connaissance.
• Prenez au sérieux toute notification de menace d’Apple et suivez ses instructions au lieu de la rejeter comme du phishing sans vérifier.
• Envisagez le mode Isolement si votre profil s’y prête. Les sources dont nous disposons n’en donnent pas le détail; nous ne pouvons donc pas dire ce qu’il bloque. À notre avis, journalistes, militants et toute personne manipulant des informations sensibles devraient s’y intéresser, en acceptant que des réglages plus stricts coûtent généralement un peu de confort.

Le verdict

Ce n’est pas « les iPhone ne sont pas sûrs », mais « aucun téléphone n’est un champ de force ». À notre sens, une alerte du fabricant suivie d’une réaction officielle rapide est le bon modèle, mais il ne fonctionne que si les destinataires de l’avertissement agissent. Gardez votre téléphone à jour, méfiez-vous de ce qui arrive dans votre boîte de réception et, si vous faites quelque chose qui fait de vous une cible, renforcez la protection avant que quelqu’un d’autre juge que l’effort en vaut la peine. Nous en saurons plus quand l’origine de cette campagne sera éclaircie; d’ici là, mieux vaut prévenir que regretter.