sur iMessage pourrait être utilisé pour les attaques Zéro Clic sur les utilisateurs d'iPhone

Illustration d’iMessage sur l’iPhone (photo: x @app_sups)

ARTA — Une rare lacune en sécurité dans iMessage, maintenant corrigée, a ouvert la possibilité d’attaques d’espionnage sans interaction zéro-clic contre des utilisateurs d’iPhone hautement utilisés, tels que des journalistes, des fonctionnaires gouvernementaux et des dirigeants technologiques. Apple s’interroge sur ces affirmations.

surnommé « Nom d’identité » a été trouvé par la société de cybersécurité iVerify et est associé à la fonctionnalité Nom et Photo partagée dans l’application Messages. La fonctionnalité permet aux utilisateurs de partager des noms, des photos de profil et des tableaux de fond avec d’autres lors de l’envoi de messages.

selon l’iVerify, la façon dont iOS gère les mises à jour de noms d’appels a une vulnérabilité qui permet à l’application messagerie de s’accroître à distance. Les attaquants ont juste besoin d’envoyer une série de mises à jour de noms spécifiquement et régulièrement pour déclencher une erreur de mémoire dans un processus système nommé imagent.

érisant sur le fait qu’il ne nécessite pas une interaction utilisateur, cette faille est classée comme une attaque à zéro clic. L’attaquant a juste besoin d’un numéro de téléphone et d’un ID Apple cible pour le exécuter. Ce bug a été secrètement corrigé dans la mise à jour iOS 18.3.

entre avril 2024 et janvier 2025, iVerify a analysé les logs d’accidents de près de 50 000 appareils iOS. Seulement moins de 0,002% des appareils ont montré ce type d’accident et sont principalement utilisés par des personnes à haut risque.

d’un haut responsable de l’UE a connu un krach selon le modèle d’écart de Nickysis et a reçu une alerte de menaces d’Apple un mois plus tard. Dans d’autres cas, il a trouvé des traces de suppression de fichiers seulement 20 secondes après le crash - similaire au modèle d’attaques de logiciels espions.

fibie n'a pas trouvé de logiciels malveillants directement, iVerify a déclaré avec « un niveau modéré de confiance » que le bug pourrait faire partie d'une chaîne d'exploitation plus large.

Apple nie fermement que le bug a été utilisé mal. Le chef de l’équipe d’ingénierie en sécurité d’Apple, Ivan Krstic, a déclaré que l’accident n’était qu’un bug logiciel ordinaire qui a été réparé sur iOS 18.3, pas le résultat d’une cyberattaque.

Apple a également déclaré qu’iVerify n’avait fourni aucune preuve technique selon laquelle des logiciels espions avaient déjà été installés.

, bien qu'aucun malware n'ait encore été confirmé, il montre que les fonctionnalités sophistiquées dans le message présentent de nouveaux risques, surtout pour les utilisateurs dans des domaines sensibles tels que le journalisme et la politique.

iMessage lui-même dispose déjà d’un système de dépistage strict tel que BlastDoor pour sévir contre les données malveillantes. Mais une attaque à zéro clic comme celle-ci indique que les menaces contre les systèmes de communication continuent d’évoluer et continuent d’évoluer.

pour se protéger contre ces menaces cachées :

ez toujours sur votre système d'exploitation dès que possible chaque fois qu'il y a une mise à jour.

activez les mises à jour automatiques dans Paramètres > Généralement > Mise à jour du logiciel.

Si vous travaillez dans des secteurs à haut risque (journalistes, activistes, fonctionnaires, etc.), considérez comme activer le mode Lockdown pour rendre le système plus dur aux attaques.

: Évitez d'ouvrir ou répondre à des messages suspects, surtout depuis des numéros inconnus.

rons pour plus d'informations sur la page de sécurité officielle d'Apple.