Des sites piégés ont livré des exploits voleurs de données à des iPhone et Android non à jour

Ouvrir une page Web ordinaire suffisait, sur un téléphone non mis à jour, à lancer une chaîne capable de prendre des messages, des photos, des mots de passe et des identifiants Wi-Fi. C’est la campagne que SecurityWeek a rapportée le 5 novembre 2026 (en anglais), à partir de recherches de la firme française Sekoia. Sekoia croit que l’opérateur est Midnight Blizzard, aussi appelé APT29 ou Cozy Bear, un groupe largement associé au service de renseignement extérieur de la Russie. Les exploits n’étaient pas des failles toutes neuves. C’étaient des défauts qu’Apple, Google et Qualcomm avaient déjà corrigés. Un téléphone qui a suivi ses mises à jour n’est pas dans l’ensemble pour lequel ces chaînes ont été écrites.

Le texte de Sekoia lui-même n’était pas accessible au moment de cette publication. Les détails ci-dessous sont ceux que SecurityWeek a rapportés de cette recherche, plus l’avis public de la CISA sur l’un des bogues.

Ce que décrit Sekoia

SecurityWeek dit que Sekoia a trouvé une campagne de sites piégés visant des utilisateurs d’iPhone et d’Android en Europe et aux États-Unis, surtout en Ukraine. Les pages ne demandaient pas de toucher un lien à l’intérieur de l’attaque elle-même. Un script sur le site prenait l’empreinte du visiteur, recueillait des détails du navigateur et de l’appareil, et les envoyait en JSON. L’exploit venait ensuite.

Les sites mélangeaient des pages compromises et des sosies :

• Du JavaScript malveillant sur les sites d’un producteur de gaz ukrainien, d’une grande association sectorielle et d’un parti politique européen d’extrême droite.
• Des fichiers légitimes modifiés sur un site bulgare lié au militaire.
• Deux domaines sosies qui se plaçaient au milieu et relayaient de vrais sites : une copie de america250.org, le site du 250e anniversaire de l’indépendance américaine, et une copie du site du Raffles London at The OWO, un hôtel près d’immeubles du gouvernement britannique. Sekoia a dit que la copie de l’hôtel visait peut-être des visiteurs diplomatiques. Elle a renvoyé à des informations ouvertes selon lesquelles le président de l’Ukraine a séjourné dans cet hôtel le 14 octobre. C’est le contexte que Sekoia a donné sur les visiteurs possibles. Ce n’est pas l’affirmation qu’un invité en particulier a été infecté.
• Un changement dans la chaîne d’approvisionnement chez Plerdy, un service ukrainien d’analytique Web. Les attaquants ont ajouté leur code au traceur. SecurityWeek dit que cela a exposé des centaines de sites pendant une semaine, dont des sites liés à l’armée, aux forces spéciales et à de l’équipement militaire.

Ce que les téléphones devaient céder

SecurityWeek dit que Sekoia a identifié trois chaînes. Les trois utilisent des vulnérabilités déjà corrigées. Les deux chaînes iPhone s’appuient sur DarkSword, une trousse d’exploits mise au jour plus tôt cette année.

La première réutilise le code d’ouverture de DarkSword pour pouvoir lire et écrire la mémoire, puis utilise CVE-2024-27834 pour contourner l’authentification de pointeurs d’Apple et exécuter du code qui vole des témoins hors de Safari. Apple a corrigé ce bogue en mai 2024, dans iOS 17.5 et iPadOS 17.5, iOS 16.7.8 et iPadOS 16.7.8, macOS Sonoma 14.5, Safari 17.5, tvOS 17.5 et watchOS 10.5. Le 4 novembre 2026, la CISA a ajouté CVE-2024-27834 à son catalogue des vulnérabilités exploitées connues, en citant des preuves d’exploitation active. L’alerte de la CISA demande aux organismes civils fédéraux de prioriser les bogues du catalogue selon sa directive actuelle, et elle encourage les autres à faire de même. Cette alerte ne nomme pas Midnight Blizzard.

La deuxième chaîne, dit SecurityWeek, utilise DarkSword pour tout le chemin : accès initial, exécution de code et privilèges plus élevés. La charge utile était faite pour recueillir des messages, des courriels, des messages vocaux, des identifiants, des jetons, des contacts, des appels, des entrées de calendrier, des témoins et l’historique du navigateur, des photos et du contenu iCloud Drive.

La chaîne Android utilise CVE-2026-3910, un bogue de Chrome corrigé en mars après avoir servi comme faille du jour zéro, et CVE-2025-27038, un bogue Qualcomm corrigé dans la mise à jour de sécurité Android d’août 2025. La charge utile, que Sekoia appelle AndroSnitch, vise des données stockées dans Chrome : témoins, renseignements de compte, mots de passe et historique de navigation, plus les mots de passe Wi-Fi. SecurityWeek dit qu’elle ressemble à AndroSnatch, un voleur de témoins Chrome que le groupe d’analyse des menaces de Google a décrit dans l’activité de Midnight Blizzard en 2023 et 2024.

La conclusion de Sekoia, telle que SecurityWeek la cite, est que des trousses d’exploits vendues par des fournisseurs de surveillance commerciale abaissent le coût de ce genre d’attaque mobile, et que des groupes liés à des États vont probablement continuer à les réutiliser.

Ce que vous pouvez faire

1. Mettez le téléphone à jour. Sur iPhone, installez le dernier iOS. Sur Android, installez la dernière mise à jour du système et le dernier Chrome. Ces chaînes visaient des versions d’avant les correctifs ci-dessus. Un téléphone à jour n’est pas ce pour quoi elles ont été écrites.
2. Si le téléphone ne peut pas recevoir ces mises à jour, ne l’utilisez pas pour le courriel, la banque ou le clavardage de travail. Un iPhone resté sur iOS 16 ou 17.4, ou un téléphone Android qui n’a jamais reçu le correctif d’août 2025, est dans la plage que ces bogues touchaient.
3. Après une visite suspecte, déconnectez-vous des comptes importants et reconnectez-vous depuis un appareil à jour. Des témoins volés, c’est le même problème qu’un voleur d’informations sur un ordinateur : le mot de passe n’est pas ce dont l’attaquant a besoin. Notre guide sur la façon dont les voleurs d’informations dérobent les sessions explique comment effacer les sessions.
4. Si vous exploitez un site Web, sachez quels scripts tiers vous chargez. Le cas Plerdy, c’était un fichier d’analytique modifié pendant une semaine. Un script que vous n’avez pas revu est un script que vous ne pouvez pas garantir.

Cette campagne visait des visiteurs précis, pas tous les téléphones d’Internet. La leçon pratique pour les autres est la plus ordinaire : les correctifs existent déjà, et un vieux téléphone ne les a pas.

Comment Frame peut aider

Frame ne corrige pas un téléphone et ne bloque pas un site piégé. Si une session volée sert plus tard d’une façon qui place votre courriel dans une fuite connue, Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame donnent aussi à chaque service sa propre adresse, pour qu’un message arrivé à la mauvaise adresse soit plus facile à questionner. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : le même résultat que le vol de témoins décrit ici, et l’ordre de reprise qui compte.

Sources

• SecurityWeek, Russia-Linked Hackers Hit iOS, Android Devices With Exploit Chains via Watering Holes (en anglais), 5 novembre 2026
• CISA, CISA Adds One Known Exploited Vulnerability to Catalog (CVE-2024-27834, en anglais), 4 novembre 2026