Une faille zero-click exploitée sur WhatsApp permet aux pirates de prendre le contrôle de comptes sur d’anciens appareils iOS sans aucune action des utilisateurs, selon les signalements recensés en Espagne et en Italie en octobre 2026.
L’Institut national espagnol de cybersécurité (INCIBE) a publié une alerte au cours du mois d’octobre 2026 pour mettre en garde contre des attaques informatiques d’un nouveau genre. Contrairement aux campagnes de phishing traditionnelles, ces manœuvres n’exigent aucune interaction de la part de la cible. Il n’y a aucun lien à ouvrir, aucun QR code à scanner, aucune pièce jointe à télécharger.
Des failles enchaînées ciblent les anciens iPhone
Cette méthode repose sur une chaîne d’exploitation combinant deux failles enchaînées. La première cible le système d’exploitation mobile d’Apple, tandis que la seconde touche directement l’application de messagerie WhatsApp. Les failles affectent principalement les modèles d’iPhone plus anciens dont les propriétaires n’ont pas effectué les dernières installations logicielles. Apple a publié des correctifs dans ses versions récentes d’iOS.
Une fois l’accès initial obtenu à l’insu du propriétaire, les cybercriminels tirent parti de la synchronisation multi-appareils de la messagerie. Ils se connectent à distance par l’intermédiaire de WhatsApp Web. Les attaquants utilisent la fonction de suppression ciblée des messages. Le destinataire final voit la discussion, mais le téléphone du titulaire légitime n’affiche aucune trace des échanges frauduleux.
Les proches reçoivent des demandes de virements urgents
Les pirates s’immiscent dans les conversations privées et contactent directement les membres de la famille ainsi que les relations professionnelles ou amicales. Ils simulent des situations d’urgence financière pour soutirer de l’argent. Les scénarios les plus fréquents mentionnent un colis bloqué nécessitant un règlement immédiat ou l’achat indispensable d’un nouveau téléphone après une prétendue détérioration. Les sommes réclamées aux proches peuvent atteindre des montants de 1 000 euros, selon les constats de l’INCIBE.
En Espagne, la Guardia Civil a enregistré près de cinquante plaintes depuis la fin du mois d’août dans la seule province de Huelva. La technique gagne rapidement du terrain sur la péninsule ibérique après avoir été repérée en Italie plus tôt dans l’année.
Les autorités diffusent des recommandations
La mise à jour d’iOS et de WhatsApp constitue la parade indispensable pour contrer ces intrusions invisibles. Le remplacement du matériel mobile s’impose lorsque celui-ci s’avère trop ancien pour supporter ces correctifs de sécurité.
Les forces de l’ordre conseillent de vérifier régulièrement les connexions actives dans l’onglet des appareils liés de l’application et de confirmer par un autre canal de communication, comme un appel téléphonique ou un SMS, toute demande de fonds survenant via la messagerie instantanée.