Des espions russes ont piégé des sites pour pirater les téléphones non mis à jour, selon Sekoia

Tout commence par quelques lignes de JavaScript qui n'ont rien à faire là. À la mi-octobre, l'équipe de recherche de Sekoia, une entreprise française de cybersécurité, les repère dans le gabarit principal du site d'un producteur de gaz ukrainien. En tirant le fil, elle met au jour une campagne d'espionnage qui visait les téléphones de simples visiteurs. Elle la détaille dans un rapport publié le 4 novembre.

Les attaquants n'envoient pas de message piégé : ils compromettent des sites que leurs cibles fréquentent. Les spécialistes appellent cette technique le « point d'eau ». Le script injecté examine l'appareil et la version du navigateur. Le serveur des attaquants renvoie ensuite une chaîne d'attaque adaptée, qui s'exécute sans autre action de l'utilisateur que la visite. Sekoia attribue l'opération, avec un degré de confiance « modéré à élevé », à APT29, aussi appelé Midnight Blizzard ou Cozy Bear. Ce groupe est lié au service de renseignement extérieur russe (SVR).

Des sites ukrainiens, un hôtel de luxe londonien et un faux site américain

Outre le producteur de gaz, les sites compromis comptent une association professionnelle américaine de l'industrie chimique, un site bulgare lié au monde militaire, un mouvement politique tchèque d'extrême droite et une clinique médicale australienne. Du 27 août au 3 septembre, les attaquants ont aussi piégé le traceur de Plerdy, un outil ukrainien d'analyse d'audience. Ce traceur est chargé par des milliers de sites, surtout ukrainiens, dont des sites liés à l'armée.

Ils ont enfin monté deux sites d'imitation qui relayaient le contenu des vrais. L'un copiait le site officiel du 250e anniversaire des États-Unis, l'autre celui du Raffles London at The OWO, un hôtel de luxe voisin de bâtiments du gouvernement britannique. Selon Sekoia, le premier aurait pu servir à envoyer de fausses invitations.

Messageries, mots de passe, photos : ce que les attaquants pouvaient emporter

Sekoia décrit trois chaînes d'attaque. Sur les iPhone sous iOS 16.7, la première vole les cookies de Safari, ces petits fichiers qui gardent les sessions ouvertes. Selon Sekoia, ses exploits fonctionnent des versions 16.0 à 17.4. Sur iOS 18.5, la deuxième va beaucoup plus loin. Construite à partir d'un kit d'attaque baptisé DarkSword, elle collecte SMS, messages, conversations WhatsApp et Telegram, mots de passe du trousseau, clés Wi-Fi, localisation et photos. Sur Android, la troisième vise Chrome, des versions 139 à 145, sauf la 143. Elle en extrait cookies, identifiants enregistrés, historique et mots de passe Wi-Fi.

Un script de reconnaissance relève aussi 394 caractéristiques de l'appareil, mais selon Sekoia elles n'ont presque aucun effet sur l'envoi de l'attaque. Aucun des programmes espions ne s'installe durablement : un redémarrage suffit à les arrêter, jusqu'à la prochaine visite d'un site piégé.

Aucune faille inconnue : la mise à jour suffisait

C'est la bonne nouvelle du rapport. Les huit failles distinctes utilisées, dont CVE-2025-43529, CVE-2026-20700 et CVE-2026-3910, avaient déjà été corrigées par Apple et Google avant la campagne. Sekoia souligne qu'un système à jour protège de ces attaques. Les appareils visés sont donc ceux qu'on oublie : jamais mis à jour, ou bloqués sur une ancienne version. Les trois chaînes reposaient toutes sur des failles déjà publiques, mais elles se déclenchaient sans aucun clic de la victime, comme l'attaque du logiciel espion Candiru contre Al Jazeera.

Quelques gestes suffisent à se protéger :

• installez la dernière version d'iOS ou d'Android proposée pour votre appareil, et mettez à jour Chrome. Apple a reporté certains correctifs sur d'anciennes versions d'iOS ;
• dans une flotte professionnelle, listez les téléphones restés sur iOS 16, 17 ou une version 18 ancienne, ou équipés d'une version de Chrome antérieure à la 146, et fixez une date butoir de mise à jour ;
• redémarrez régulièrement vos téléphones : les espions décrits ici ne survivent pas à un redémarrage ;
• si votre site charge des scripts de tiers (statistiques, référencement), surveillez leurs modifications : le cas de Plerdy montre qu'un seul fournisseur piégé peut contaminer des milliers de sites.

Une question reste ouverte : Sekoia ne dit pas comment APT29 s'est procuré ces outils, mais son analyse conforte l'idée qu'ils viennent d'un tiers. Selon BleepingComputer, l'un d'eux, DarkSword, circule depuis au moins novembre 2025 entre plusieurs groupes d'attaquants.