Le FBI met en garde les utilisateurs d'iPhone contre l'envoi de textos via iMessage, les messages chiffrés compromis

Les autorités américaines, dans un alerte conjointe avec le FBI, ont mis en garde les utilisateurs d'iPhone contre les attaques d'espionnage sur la plateforme de messagerie iMessage. L'agence Cybersecurity and Infrastructure Security Agency (CISA) a conseillé aux utilisateurs d'iPhone et d'Android de « n'utiliser que des communications chiffrées de bout en bout ».

CISA et le FBI publié une alerte lundi en réponse à plusieurs opérations de piratage majeures sur les plateformes de médias sociaux WhatsApp et Signal, qui ont infiltré les messages privés et les appels téléphoniques de plusieurs Américains.

Cependant, l'avertissement de la CISA mentionne le système de messagerie iMessage d'Apple, le client SMS par défaut pour les utilisateurs d'iPhone. iMessage dispose lui-même d'un chiffrement de bout en bout entre les appareils Apple, mais les textos envoyés aux téléphones Android sont transmis en tant que SMS standard, qui ne sont pas entièrement chiffrés.

Les textos iMessage vers Android manquent de chiffrement, vulnérables au vol de données

Les utilisateurs d'iPhone aux États-Unis préfèrent apparemment utiliser iMessage par rapport à d'autres applications de messagerie chiffrées comme WhatsApp. Selon un rapport réalisé au milieu de l'année 2024, plus de la moitié des propriétaires de smartphones aux États-Unis ont des iPhones, et 26 % de la population possédant ces téléphones utilise iMessage. Le PDG de Meta, Mark Zuckerberg, voit iMessage comme son plus grand concurrent sur le marché américain.

Les téléphones Android disposent du protocole RCS que Google a testé pour le chiffrement de bout en bout, mais Apple n'a pas confirmé quand elle mettra en œuvre des protections similaires. 

iMessage est une plateforme front-end et le seul client SMS sur iPhone, que le Département de la Justice a vigoureusement critiqué lors de son rapport sur l'écosystème « jardin clos » d'Apple. Selon le DOJ, l'absence d'alternatives signifierait que tous les propriétaires d'iPhone seraient exposés s'il y avait une attaque sur le système de messagerie.

« Ce sont nos conseils principaux », a déclaré la CISA, même si de nouvelles attaques d'espionnage ciblent Signal et WhatsApp. « N'utilisez pas la messagerie texte entre iPhones et Androids. Ce n'est pas entièrement chiffré. »

L'année dernière, le FBI et la CISA avaient émis un avis similaire en raison de Salt Typhoon, une opération cybernétique liée à l'État chinois qui a réussi à accéder à des conversations et des textos privés. 

Comme l'a rapporté le Washington Post, le président du Comité du renseignement du Sénat, le sénateur Mark Warner, a qualifié la violation de « pire piratage de télécommunications de l'histoire des États-Unis ».

« Nous sommes l'envie des télécommunications dans le monde. Je ne veux pas ralentir cette innovation. Je ne veux pas intervenir avec une nouvelle réglementation lourde. Cela devrait concerner uniquement la sécurité et la sûreté », a déclaré le sénateur au WP.

Le FBI et d'autres responsables de la cybersécurité ont demandé aux Américains d'éviter la messagerie texte standard et de passer à Signal ou WhatsApp pour protéger leurs communications contre les pirates étrangers. 

« Notre suggestion, ce que nous avons dit aux gens en interne, n'est pas nouvelle ici : le chiffrement est votre ami, que ce soit pour la messagerie texte ou si vous avez la capacité d'utiliser une communication vocale chiffrée. Même si l'adversaire est capable d'intercepter les données, si elles sont chiffrées, il sera impossible de les lire », a déclaré Jeff Greene, directeur exécutif adjoint de la cybersécurité à la CISA.

WhatsApp et les appareils Android également exposés à des vulnérabilités

À l'écart des problèmes d'Apple, Cryptopolitan a également couvert plusieurs exploitations affectant WhatsApp et Android qui figuraient dans les notes de la CISA lundi. Au début du mois de novembre, des chercheurs de l'Université de Vienne a révélé une faille dans la fonctionnalité d'enregistrement de WhatsApp qui leur a permis de récolter 30 millions de numéros américains en seulement 30 minutes. 

Au cours de leurs recherches, ils ont accédé au numéro de 3,5 milliards d'utilisateurs dans le monde. Environ 57 % de ces utilisateurs avaient des photos de profil publiques, et les chercheurs pouvaient voir le texte du profil pour 29 % des comptes.

Quelques jours après que l'institution a partagé ses conclusions, l'entreprise de cybersécurité Unit 42 a rapporté au sujet d'une campagne d'espionnage sur les appareils Samsung Galaxy nommée LANDFALL, qui utilise une vulnérabilité zero-day dans la bibliothèque de traitement d'images de Samsung libimagecodec.quram.so (CVE-2025-21042) pour infiltrer les appareils via des images envoyées sur WhatsApp.

Selon Unit 42, le malware est actif depuis le milieu de l'année 2024 et permet aux attaquants d'effectuer une surveillance complète de l'appareil sans interaction de l'utilisateur. Des malwares Android ont également été trouvés cachés dans des échantillons d'images iOS, dans des fichiers Digital Negative (DNG). 

Plusieurs utilisateurs cités dans les conclusions de Unit42 ont signalé avoir vu des noms de fichiers tagués comme des téléchargements WhatsApp, tels que « IMG-20240723-WA0000.jpg », tracés vers des lieux incluant le Maroc, l'Iran, l'Irak et la Turquie entre juillet 2024 et début 2025.

Une autre vulnérabilité, CVE-2025-12725, une erreur d'écriture hors limites dans le composant de traitement graphique WebGPU de Google Chrome, a également été exploitée conjointement avec LANDFALL.