« Ne cliquez sur rien » est un conseil dépassé : le correctif est votre vrai bouclier

Pendant des années, le conseil de sécurité standard tenait en peu de mots: ne cliquez pas sur les liens suspects, ne téléchargez pas d’applications étranges. Que dire aux gens quand le simple chargement d’une page ordinaire peut suffire ?

Telle est la leçon dérangeante d’une campagne décrite par l’entreprise française de cybersécurité Sekoia. Selon le résumé d’eSecurity Planet du rapport du 4 novembre, l’opération a été rattachée, avec un niveau de confiance modéré à élevé, à APT29, un groupe associé au service de renseignement extérieur russe. Les attaquants ont injecté du JavaScript malveillant dans des sites légitimes, dont un producteur de gaz ukrainien, une association professionnelle de l’industrie chimique américaine et un parti politique européen. Ils ont aussi enregistré des domaines imitant les originaux et trafiqué le traceur d’un fournisseur d’analyse ukrainien. Le script identifiait le navigateur et le système d’exploitation du visiteur, et les appareils vulnérables recevaient automatiquement les exploits, sans clic ni téléchargement supplémentaire.

Le détail le plus important est le suivant: toutes les chaînes d’exploitation récupérées reposaient sur des failles corrigées avant le début de la campagne. Les appareils entièrement à jour étaient protégés contre ces attaques précises. Comme le rapporte BFMTV, Apple avait publié en avril un correctif pour la faille exploitée par le kit DarkSword.

Votre prudence n’a jamais été le maillon faible, c’est votre retard de mise à jour

Demander aux utilisateurs d’« être prudents » suppose que le danger est visible. Ici, il ne l’était pas: les sites imitateurs affichaient du contenu repris des originaux légitimes, et les autres attaques se cachaient dans de vrais sites. Aucune vigilance n’y change rien quand le code malveillant se trouve dans un site auquel vous avez de bonnes raisons de faire confiance.

Ce qui a fonctionné est banal: installer le correctif. À notre avis, cela rend l’ancien conseil non seulement insuffisant, mais trompeur, car il fait reposer la charge sur un comportement que les utilisateurs ne maîtrisent pas et néglige la seule chose qu’ils peuvent contrôler: l’état de leurs mises à jour. Pour être juste, cette campagne semble ciblée. Sekoia suggère que des délégations diplomatiques et des invités de premier plan étaient peut-être visés, et les enquêteurs n’ont pas pu établir combien d’appareils ont été compromis. La plupart des lecteurs ne sont probablement pas les victimes visées. Mais ce genre d’outils a tendance à se diffuser, et la défense est la même dans les deux cas.

Android montre pourquoi « il suffit de mettre à jour » n’est pas une demande équitable

Sur iPhone, la réponse est facile à donner. Sur Android, c’est plus confus. 01net note que le correctif de novembre de Google comble 216 failles, dont 23 critiques, parmi lesquelles une dans le Framework qui ne demande aucune interaction de l’utilisateur. Le même article précise que plus de 40 % des appareils actifs tournent sous Android 13 ou une version antérieure et ne reçoivent plus de mises à jour de sécurité de Google. Pour tous les autres, le délai dépend de l’adaptation du correctif par le fabricant: quelques jours pour certains, plusieurs semaines pour d’autres.

Voilà le vrai scandale. On dit aux gens d’appliquer vite les correctifs, puis on leur vend des appareils sur lesquels le calendrier des correctifs dépend de quelqu’un d’autre. Un utilisateur peut tout faire correctement et rester exposé pendant des semaines. Nous pensons qu’il s’agit d’un défaut de conception de l’écosystème, pas d’une faute de l’utilisateur.

Les éditeurs devraient rendre les correctifs invisibles

Notre position: les mises à jour de sécurité devraient s’installer toutes seules, rapidement et, autant que possible, sans redémarrage, la charge incombant au fabricant. Les applications et les téléphones qui invitent à « mettre à jour plus tard » livrent une vulnérabilité munie d’un bouton de report. Les fabricants qui traînent derrière les bulletins de Google devraient être nommés et comparés publiquement sur leur rapidité, et les acheteurs devraient considérer les engagements de mise à jour comme une caractéristique aussi importante que l’appareil photo.

Une réserve issue de la recherche: aucune des chaînes n’a établi de persistance, mais, comme le souligne le rapport, redémarrer un téléphone n’annule pas un vol de données. Le détournement de session peut aussi donner aux attaquants accès à des comptes sans toucher au réseau d’une entreprise. Mettre à jour après coup n’est donc pas un remède.

Vérifiez votre téléphone dès aujourd’hui et considérez la rapidité des correctifs comme une caractéristique

Sur Android, ouvrez Paramètres, À propos du téléphone et regardez la date de la mise à jour de sécurité: selon 01net, celle du 1er novembre 2026 ou une date ultérieure protège contre la faille critique du Framework. Sur iPhone, installez la dernière version d’iOS. Activez partout les mises à jour automatiques. Si votre téléphone ne reçoit plus de correctifs, voyez-y une date de remplacement, pas une suggestion. Et si vous en choisissez un nouveau, demandez au vendeur pendant combien de temps et avec quelle rapidité il sera corrigé. Cette question vous protège davantage que n’importe quel avertissement sur les liens.