Êtes-vous concerné ?
- Concernés : toute entreprise dont les salariés utilisent des iPhone ou des téléphones Android sans la dernière mise à jour – téléphones professionnels et téléphones personnels avec l'e-mail ou les messageries de travail.
- Également : les entreprises dont le site web charge des scripts tiers, comme des outils de mesure d'audience ; un de ces fournisseurs, Plerdy, a été détourné pour diffuser le code d'attaque.
- Vous n'êtes pas concerné si : chaque téléphone qui traite des données de l'entreprise a la dernière mise à jour qui lui est proposée, et les téléphones Android la dernière version de Chrome.
Que faire
- Sur les iPhone, installez la dernière mise à jour d'iOS proposée à l'appareil ; sur Android, mettez à jour Chrome et le système d'exploitation. Apple a aussi corrigé les failles dans des versions plus anciennes d'iOS.
- Repérez les téléphones restés à la traîne : dans votre outil de gestion des appareils, ou en interrogeant les salariés.
- Pour les failles citées, les correctifs sont iOS 18.7.3 ou 26.2 (décembre 2025), Chrome 146.0.7680.75 (mars 2026) et un correctif du pilote graphique Qualcomm (juin 2025). Les versions antérieures contenaient encore ces failles.
- Un téléphone qui n'était pas à jour depuis au moins fin août (la date la plus ancienne rapportée) : le code malveillant ne restait pas sur l'appareil, et un redémarrage l'arrête jusqu'à la prochaine visite d'une page infectée. Les cookies de session volés permettent toutefois à un attaquant de réutiliser des connexions, par exemple au webmail. À notre avis, déconnectez toutes les sessions des comptes professionnels utilisés sur ce téléphone et changez les mots de passe qui y sont enregistrés.
- Votre site web, à notre avis : sachez quels scripts tiers il charge, et supprimez ceux que vous n'utilisez plus.
Ce que l'on sait – et ce que l'on ignore
- Parmi les sites piratés figuraient un producteur de gaz ukrainien, une association professionnelle américaine de l'industrie chimique, un mouvement politique tchèque et une organisation bulgare liée à l'armée ; le traceur SEO de Plerdy a été modifié entre le 27 août et le 3 septembre.
- Sekoia a récupéré trois chaînes : iOS 16.7 (cookies du navigateur et de certaines applications) ; iOS 18.5 avec le kit d'exploits DarkSword (bases de données d'iMessage, WhatsApp et Telegram, identifiants du Keychain, localisation, photos) ; Android, une faille de Chrome (CVE-2026-3910) combinée à une faille du pilote Adreno (CVE-2025-27038), collectant les cookies, identifiants et l'historique de Chrome ainsi que les mots de passe Wi-Fi enregistrés. CVE-2025-43529 est liée à DarkSword.
- La CISA classe les trois CVE comme exploitées ; elle les a ajoutées entre juin 2025 et mars 2026.
- On ignore combien de personnes ont été touchées. Le mouvement tchèque n'est pas nommé. Sekoia travaille avec des équipes nationales de réponse aux incidents pour identifier les victimes.
Pourquoi c'est important
Aucun lien à cliquer, aucune application hors de la boutique : un téléphone pas à jour et une visite sur un site de confiance suffisaient. Les correctifs existent ; le risque, c'est le téléphone que personne n'a mis à jour.