Au cours des derniers mois des dizaines de comptes WhatsApp ont été compromis en Italie à travers une technique insidieuse et inquiétante, documentée par Antonio De Bortolitechnicien informatique spécialisé en criminalistique informatique, dont les analyses complètent celles de l’équipe Légal et l’expert Paolo Da Checcoconvergeant vers un tableau inquiétant. Une attaque définitive « zéro clic »: type d’intrusion qui affecte l’appareil de la victime sans que celle-ci n’effectue aucune action suspecte. Pas de phishing, pas de malware, pas d’ingénierie sociale. Le compte est compromis en silence et la victime ne le découvre presque toujours que lorsque des amis et des connaissances commencent à répondre à des demandes d’argent qu’ils n’ont jamais envoyées. Le mécanisme technique sous-jacent a été partiellement élucidé par les experts, mais le point d’entrée de l’attaque reste, à ce jour, totalement inconnu. Dans tous les cas, voyons comment fonctionne l’attaque, qui elle frappe et, surtout, quelles mesures sont recommandées par les experts pour se défendre.
Quand l’attaque ne laisse aucune trace
On a l’habitude de penser qu’une cyberattaque nécessite toujours une erreur de la part de la victime : un clic sur un lien malveillant, une pièce jointe téléchargée à la va-vite, un code partagé par erreur. Les récentes enquêtes menées par l’équipe de Légal – studio informatique médico-légal dirigé par Paolo Dal Checco – et par le technicien informatique judiciaire Antonio De Bortoli au lieu de cela, ils démontrent l’existence d’attaques définies « zéro clic »capable de violer un profil sans que la victime n’agisse.
Tout a commencé avec une série de signalements arrivés dans la même journée : des utilisateurs qui ont découvert, grâce aux réponses de leurs contacts, qu’ils avaient apparemment demandé des virements bancaires. Le fait le plus déconcertant est que dans la section Les « appareils connectés » de WhatsApp n’ont montré aucun accès étranger. Pourtant, il était clair que quelqu’un écrivait en leur nom.
Qui est dans la ligne de mire : iPhone avec iOS 16
En comparant les différents cas, l’équipe de Forenser a identifié un schéma commun à tous : les appareils concernés étaient presque exclusivement des iPhones – différents modèles du 8 au 14, dont les variantes X, XR, XS, 11, SE, 12 et 13 – sur lesquels une version obsolète du système d’exploitation était installée : iOS16.
La recherche a conduit à l’identification de deux vulnérabilités : la CVE-2025-43300lié à la façon dont iOS 16 traite les images via une bibliothèque système, et le CVE-2025-55177une faille dans WhatsApp pour iOS et macOS qui pourrait permettre l’analyse de contenu provenant d’URL arbitraires via des messages de synchronisation incorrectement autorisés. La chaîne de deux failles a permis une attaque sans clic dans laquelle la victime n’a aucune action à entreprendre pour être compromise.
Comment fonctionne la session fantôme
Dans des conditions normales, WhatsApp vous permet de Associez jusqu’à quatre appareils secondaires à un smartphone principal. Dans ces cas cependant, l’intrusion ne se produit pas via un dispositif visible supplémentaire : l’attaquant parvient à démarrer une deuxième session primaire parallèle.
En analysant les journaux médico-légaux des appareils concernés, il est ressorti séquence anormale et continue d’événements de « resynchronisation »comme si l’application renégociait constamment la session avec les serveurs WhatsApp. Ce n’est pas normal : cela arrive lorsque quelqu’un d’autre essaie de garder sa session active sur le même compte en parallèle.
Le résultat est un condition de coursec’est-à-dire un conflit continu dans lequel deux processus se disputent la même ressource. Le serveur WhatsApp reconnaît deux connexions valides et n’en garde qu’une seule active à la fois, basculant le contrôle du compte entre le téléphone de la victime et celui de l’attaquant toutes les quelques secondes. Si un message est envoyé pendant la fenêtre dans laquelle l’attaquant a le contrôle, le chat n’apparaît pas sur le téléphone de la victime : il reste totalement invisible.
VPN étranger et messages automatiques
Les enquêtes ont confirmé qu’au moins un des comptes compromis possédait déjà le vérification en deux étapes active avant intrusion: cela montre que cette mesure de protection, bien qu’utile, il ne suffit pas de contrer tous les scénarios d’attaque.
A partir de l’analyse du trafic réseau, leen utilisant un VPN situé à Hong Kong. Autre détail révélateur : les réponses envoyées aux contacts n’étaient pas rédigées par un humain, mais gérées par un algorithme avec des réponses prédéfinies. Le système, en effet, n’était pas en mesure de maintenir le fil logique de la conversation dès que l’interlocuteur sortait des sentiers préétablis.
Comment comprendre si votre compte est compromis
Identifier le vecteur d’entrée exact reste complexe, puisqu’aucune trace de fichier malveillant ou anomalie évidente dans les journaux système n’a été trouvée sur les téléphones examinés. Pourtant, ils existent trois tests empiriques qui peut fournir des informations utiles.
- Rubrique « Appareils connectés » vide. Si la liste est complètement vierge mais que les contacts reçoivent des communications inhabituelles de votre part, une session parallèle peut être active.
- Erreur répétée sur WhatsApp Web. Si lors de la tentative de connexion à WhatsApp Web une erreur de connexion apparaît systématiquement alors même que le réseau est stable, il est probable que le flux soit contesté côté serveur.
- Le test du mode avion. En activant le mode avion, si un contact voit apparaître la coche double reçu sur un message envoyé à ce moment-là, cela signifie que quelqu’un d’autre le reçoit à votre place.
Que faire pour vous protéger (et arrêter l’attaque)
Passons maintenant à les mesures à prendre pour se protéger. La contre-mesure la plus efficace est certainement celle de mettre à jour iOSen tenant compte du fait que les versions antérieures à 16.7.12 sont vulnérables. Forenser recommande également activer le mode d’isolement d’iOS (dans Paramètres > Confidentialité et sécurité > Mode d’isolement) pour réduire la surface d’attaque. Alors que mettre à jour ou réinstaller WhatsApp avec une nouvelle authentification est efficace pour interrompre toute session non autorisée.