Voilà ce que vous devez faire chaque semaine pour protéger votre smartphone des hackers qui parviennent à les pirater sans même que vous ayez cliqué sur quoi que ce soit

Atlantico : Selon la rédaction du Daily Mail, une alerte a été émise pour les utilisateurs d'iPhone et d'Android. Ces cyberattaques discrètes ont visé des millions d'appareils. Quelles sont les nouvelles techniques des hackers ? Comment est-ce qu'ils procèdent ? Comment est-ce qu'ils attaquent les appareils ?

Benoît Grunemwald : Le smartphone est un ordinateur. Plusieurs éléments sont importants. Le premier est le système d'exploitation, Android la plupart du temps. Ce système d'exploitation comporte régulièrement des vulnérabilités (184 en 2024 à date). C'est la raison pour laquelle de très nombreuses mises à jour sont proposées, il faut les installer.

Ce système d'exploitation doit faire en sorte que les applications ne sortent pas de leur périmètre et les droits accordés à ces applications font qu'elles doivent rester encore une fois dans leur périmètre. Comparé à un système Windows ou un système Linux sur Android, c'est beaucoup moins le cas. Il y a des systèmes de permissions que l'utilisateur accepte bien souvent au moment de l'installation des applications et qui font qu'ils laissent un peu un libre accès. 

Les différentes applications que l'on va installer vont avoir des droits de pouvoir faire des choses sur le smartphone. Les pirates vont utiliser ces portes ouvertes, ces opportunités pour pouvoir pénétrer et s'installer plus ou moins durablement dans nos téléphones. Et il y a un cas particulier sur iOS, qui est plus difficile d'accès. Le cas particulier concerne des applications ou des modules complémentaires qui vont pouvoir être téléchargés et installés. Cela va ouvrir un accès plus important sur le smartphone (étude Apple).

Le risque de piratage concerne notamment la technique du "zero click hack". Pour s'en protéger et s'en prémunir, il serait conseillé d'éteindre et de rallumer son téléphone portable au moins une fois par semaine. En quoi consiste ces attaques zéro clic ? 

Concernant le piratage zéro clic, il y a deux exemples pour l'illustrer. Le premier est lié au logiciel espion Pegasus. Ce dispositif, qui coûte très cher, est acheté par des gouvernements ou des sociétés qui sont affiliées à des États. Pegasus permet d'espionner, notamment des journalistes ou des personnalités politiques. Ce logiciel espion n'a pas besoin d'avoir une interaction avec l'utilisateur. Il suffit de recevoir un SMS pour être vulnérable et ensuite être espionné. 

Un deuxième exemple de la méthode zéro clic concerne ce qui est sorti sur l'application TikTok. Les utilisateurs ont reçu un message. En y accédant, ils perdaient l'accès à leur compte. Les pirates pouvaient prendre la main sur leur compte à ce moment-là.

Le cas de Pegasus montre que le piratage n'est pas lié à une application mais au système d'exploitation. Et concernant Tiktok, il s'agit bien d'une vulnérabilité dans l'application.

Est-ce que le risque du piratage via la méthode du zéro clic est très élevé en France ?

Ce risque est très important, il concerne le monde entier. Il n'est pas lié à un pays. Lorsqu'il y a une vulnérabilité de ce type, généralement tous les systèmes d'exploitation, toutes les applications et tous les appareils sont vulnérables.

Si ce risque de piratage ne nécessite pas d'intervention de l'utilisateur, comment faire pour se prémunir face à ces attaques ? 

Ce piratage va s'inscrire sur la durée dans une forme de persistance. Le piratage va être actif en tâche de fond. Pour ne pas être repéré, le piratage va être localisé dans la mémoire. Donc le fait de redémarrer sa machine régulièrement permet de remettre à zéro votre smartphone et d'enlever l'attaque et le risque. Le meilleur moyen est aussi de mettre à jour ses applications et son smartphone.

Est-il possible de corriger les bugs et les failles? Y a-t-il d'autres manipulations spécifiques à faire ?

A la manière d'un ordinateur, il est possible de protéger son smartphone avec un antivirus, ou plus exactement de nos jours, avec une suite de sécurité. Cela protège contre ces types d'attaques et contre l'hameçonnage. Il y a des logiciels qui ne sont pas des logiciels zéro clic mais qui sont tout à fait préjudiciables et que l'utilisateur va être amené, par tromperie, à installer lui-même. Ces techniques sont plus dangereuses que les logiciels et les attaques zéro clic qui coûtent énormément à l'attaquant.

Est-ce que les piratages zéro clic sont aussi efficaces que des logiciels de phishing pour l'attaquant ? Est-ce que cela est aussi rentable pour eux ?

Les attaques zéro clic coûtent très cher. En revanche, installer un cheval de troie pour récolter des coordonnées bancaires sera moins coûteux pour les pirates.

Pour les cybercriminels, il existe des éditeurs malveillants qui louent leurs logiciels et les moyens de les installer sur les victimes et les cibles potentielles.

La majorité des grandes banques françaises seraient "disponibles" en tant que cibles à la location, dans un kit tout prêt à destination des plus grandes banques européennes.

Quels sont les bons comportements à adopter pour éviter de mettre en danger ces données en utilisant son smartphone ?

Il est important d'installer les dernières mises à jour pour le système d'exploitation et pour les applications. Il faut installer une suite de sécurité et être très précautionneux et attentif lorsque l'on télécharge des applications. 

Des applications gratuites peuvent cacher des applications malveillantes. Si c'est gratuit, c'est vous le produit. Cela vaut pour nos données commerciales qui sont exploitées par des sociétés dont c'est le métier et il peut y avoir des applications illégales qui se cachent derrière des applications gratuites ou qui qui imitent des applications légitimes, payantes ou gratuites, mais bien connues.

Il est aussi important de sauvegarder vos données afin de les protéger car il n'y a pas que la cybercriminalité. Il y a également le vol et la perte de données bien sûr.

Comment est-il possible de se sortir du piratage si l'on a été ciblé par une attaque zéro clic ?

Il est vital de remettre à jour complètement son système d'exploitation. C'est pour cela qu'il est important de faire des sauvegardes. Il est aussi important d'avoir un gestionnaire de mots de passe. Lorsque vous allez réinstaller votre système et que vous allez devoir remettre tous vos mots de passe, si vous avez un gestionnaire de mots de passe, vous allez gagner énormément de temps.