WhatsApp : cette arnaque zéro clic vous piège à votre insu

En octobre 2026, une nouvelle forme d’arnaque baptisée « zéro clic » fait parler d’elle en Espagne. Cette menace exploite une vulnérabilité présente dans certaines versions d’iOS et dans l’application WhatsApp, permettant à un attaquant de prendre le contrôle d’un smartphone sans que la victime n’ait besoin d’ouvrir un message, de cliquer sur un lien ou même de lancer l’application.

Le mécanisme repose sur l’envoi d’un message spécialement crafted qui, dès sa réception, déclenche une exécution de code à distance grâce à la faille iOS. Comme aucune interaction de l’utilisateur n’est requise, l’attaque passe totalement inaperçue jusqu’à ce que des signes étranges apparaissent : consommation de batterie anormale, présence d’applications inconnues ou ralentissement soudain du dispositif.

Comment fonctionne l’exploit zéro clic ?

Les chercheurs en sécurité ont découvert que le vecteur d’attaque repose sur une erreur de gestion des fichiers multimédias dans le cadre du traitement des notifications push. Lorsqu’un message contenant un payload mal formé arrive, le processus chargé de décoder l’image ou la vidéo dépasse la mémoire allouée, ouvrant une brèche permettant l’injection de code arbitraire.

Ce code, une fois exécuté avec les privilèges du processus WhatsApp, peut ensuite escalader ses droits vers le noyau iOS grâce à une seconde vulnérabilité connue sous le nom CVE‑2026‑XXXX. À ce stade, l’attaquant obtient un accès complet au dispositif : lecture des messages, activation du micro ou de la caméra, installation de logiciels espions.

Quelles versions d’iOS sont concernées ?

Selon les avis publiés par les équipes de réponse aux incidents, les versions iOS 16.4 à 16.7.2 présentent la faille exploitable. Les appareils tournant sous iOS 17.0 ou supérieur semblent, pour l’instant, protégés grâce à un correctif appliqué dans les dernières mises à jour de sécurité publiées fin septembre 2026.

Néanmoins, une part non négligeable du parc espagnol d’iPhone tourne encore sous ces anciennes versions, notamment chez les utilisateurs qui retardent les mises à jour par crainte de perdre des fonctionnalités ou par simple oubli.

Comment se protéger dès maintenant ?

La première ligne de défense consiste à mettre à jour son iPhone vers la dernière version d’iOS disponible. Apple a publié le correctif iOS 16.7.3 le 26 septembre 2026, qui colmate la vulnérabilité utilisée dans l’attaque zéro clic.

En complément, il est recommandé de désactiver temporairement le préchargement des médias dans WhatsApp (Réglages > Discussions > Enregistrement automatique) afin de réduire la surface d’attaque tant que le correctif n’est pas appliqué.

Enfin, l’installation d’une solution de sécurité mobile reconnue, capable de détecter les comportements anormaux d’accès à la mémoire, peut fournir une couche supplémentaire de protection contre les exploits zero‑day.

Les recommandations des experts en cybersécurité

Les analystes du dispositif de réponse aux incidents cybernétiques de l’ENISA soulignent que ce type d’attaque zéro clic illustre la montée en puissance des menaces qui ne dépendent plus de l’erreur humaine. Ils insistent sur la nécessité d’un déploiement rapide des correctifs par les opérateurs téléphoniques et les gestionnaires de parcs d’entreprise.

Pour les particuliers, le message est clair : ne pas attendre qu’un symptôme apparaisse pour agir. Une mise à jour système effectuée aujourd’hui évite potentiellement des semaines d’espionnage silencieux.

Source : 20Minutes