iPhone : des sites piégés par d'anciennes pubs, comment s'en protéger

Pas de clic, pas de fichier à ouvrir : sur certains sites, la simple visite suffit à infecter un iPhone resté sur une ancienne version d'iOS. Voici ce que l'on sait de cette campagne, et ce qu'il faut faire dès ce soir pour ne pas en faire partie.

La campagne repose sur un détail que presque aucun éditeur de site ne surveille : les anciennes balises de mesure d'audience ou de publicité. Des milliers de sites chargent encore des scripts hébergés sur des domaines que leurs propriétaires ont laissé expirer. Des pirates ont racheté ces domaines et se retrouvent ainsi à servir du code à tous les visiteurs, sans toucher au site lui-même.

Ce que les chercheurs ont établi

Un premier rapport, publié autour du 21-22 octobre 2026 par deux sociétés de sécurité, décrit une opération baptisée DeadTag. Les pirates rachètent les domaines expirés, revendent le trafic redirigé à d'autres groupes criminels, et repèrent au passage les visiteurs sous iPhone pour leur envoyer un kit d'exploitation, c'est-à-dire un enchaînement de failles. Deux kits sont cités : Coruna et DarkSword.

Les chiffres circulent avec des écarts. Le fondateur d'un des services de surveillance a retrouvé le code sur au moins 6 600 sites légitimes, pour environ 49 millions de visites par mois. Une autre estimation, sur les sites capables de servir ces kits, monte à 135 millions de visites mensuelles. Les chercheurs parlent aussi de centaines de domaines expirés réenregistrés, et de centaines de boutiques en ligne piratées qui hébergeaient le chargeur de DarkSword. L'attribution à un groupe précis reste présentée comme non confirmée. Un second vecteur a été observé : une publicité Instagram sur le thème de la Coupe du monde, qui a infecté le téléphone d'un employé avec une variante de DarkSword.

Les données visées : mots de passe du trousseau, messages, photos, portefeuilles de cryptomonnaies. Le gros du trafic détourné part cependant vers des arnaques classiques (faux VPN, faux sondages, paris en ligne).

Quels iPhone sont exposés

Les kits ciblent des versions d'iOS anciennes. DarkSword vise iOS 18.4 à 18.7 et enchaîne six failles dans Safari et le noyau du système ; Coruna s'attaque à des versions encore plus vieilles, jusqu'à iOS 17 environ. Les chercheurs précisent que les essais d'adaptation à iOS 26 et iOS 27 restent, pour l'instant, pour l'essentiel non fonctionnels. Un iPhone à jour n'est donc pas la cible, et c'est tout l'enjeu.

Côté Apple, les failles de DarkSword ont été corrigées en plusieurs étapes. Les versions iOS 18.7.2 et 18.7.3 en ont réglé une partie, puis iOS 18.7.7 (24 mars 2026, étendue à davantage d'appareils le 1er avril) a servi de correctif pour les iPhone qui restent sous iOS 18. Une faille du noyau, en revanche, n'est corrigée que dans iOS 26.3 et suivants. Un iPhone compatible resté sous iOS 18 sans avoir fait le saut n'est donc pas couvert au même niveau qu'un iPhone passé sous iOS 26. Aucune des sources consultées ne publie de liste de correctifs propre à cette vague d'octobre : on ne sait pas si Apple prépare autre chose.

Étape 1 : vérifier votre version d'iOS

1. Ouvrez Réglages, puis Général, puis Informations.
2. Lisez la ligne Version d'iOS.
3. Comparez : sous iOS 26.7.1 ou iOS 27.0.1, vous êtes sur les versions les plus récentes. Sous iOS 18, vous êtes dans la zone visée. Sous iOS 17 ou moins, vous êtes exposé à Coruna et à d'autres kits plus anciens.

Étape 2 : installer la mise à jour

1. Branchez l'iPhone et connectez-le au Wi-Fi.
2. Allez dans Réglages > Général > Mise à jour logicielle.
3. Si votre iPhone est compatible avec iOS 26 (iPhone 11 et suivants), installez la dernière version proposée. C'est la seule qui corrige toutes les failles de DarkSword.
4. Si vous êtes bloqué sous iOS 18 (iPhone XR, XS, XS Max), installez iOS 18.7.7. Sur un modèle qui reste proposé en iOS 18, elle apparaît parfois sous « Également disponible ».
5. Activez ensuite Mises à jour automatiques dans la même page, pour que les correctifs arrivent sans que vous y pensiez.

Un iPhone qui ne reçoit plus de mise à jour est le point faible de cette affaire. Dans ce cas, évitez d'y saisir des mots de passe sensibles et pensez au Mode Isolement ci-dessous.

Étape 3 : le Mode Isolement, pour qui ?

Apple le décrit comme une protection extrême, pensée pour un très petit nombre de personnes susceptibles d'être visées individuellement (journalistes, militants, dirigeants). Il est aussi utile en dépannage si vous ne pouvez pas mettre à jour. Contre ce type d'attaque par navigateur, il fait partie des recommandations des chercheurs, notamment si vous détenez des cryptomonnaies.

1. Mettez d'abord l'iPhone à jour.
2. Ouvrez Réglages > Confidentialité et sécurité, descendez jusqu'à Mode Isolement.
3. Touchez Activer le mode Isolement, confirmez, puis Activer et redémarrer et saisissez votre code.

Le prix à payer est réel : certains sites s'affichent mal ou lentement, la plupart des pièces jointes de Messages sont bloquées, les appels FaceTime de personnes inconnues aussi, et l'iPhone doit être déverrouillé pour se connecter à un accessoire. Pour la majorité des utilisateurs à jour, c'est excessif. Pour un iPhone coincé sous une vieille version, c'est un compromis défendable.

Signes d'infection : ce qu'on sait, et ce qu'on ignore

Aucun symptôme fiable n'est établi. L'infection se fait sans clic et ces logiciels cherchent justement à rester invisibles. Un iPhone qui chauffe ou dont la batterie baisse vite n'est pas, en soi, une preuve. Seuls signaux évoqués par les chercheurs : des redirections inattendues vers de fausses pages (VPN, sondage, paris, casino) pendant la navigation, surtout si cela vous arrive sur des sites habituellement sages.

Si vous avez un doute, procédez dans cet ordre :

1. Redémarrez l'iPhone, puis installez la dernière mise à jour disponible.
2. Depuis un autre appareil sain, changez vos mots de passe sensibles : compte Apple, messagerie, banque. Le trousseau étant une cible, traitez aussi ceux qu'il contient.
3. Si vous avez des cryptomonnaies, transférez-les vers un nouveau portefeuille créé avec une nouvelle phrase de récupération, et ne la saisissez jamais sur un site ou une fenêtre qui vous la réclame.
4. Pour un risque sérieux, sauvegardez vos données, puis réinitialisez l'iPhone et restaurez-le avec soin (voir le guide de sauvegarde ci-dessous).

Que penser de cette campagne

Le risque pour un iPhone à jour reste faible, et c'est le message à retenir : cette attaque tire parti des retardataires, pas d'une faille inconnue. La nouveauté, c'est le mode de diffusion. Il n'est plus nécessaire de pirater un site : il suffit de racheter un nom de domaine oublié. Vous n'y pouvez rien en tant que visiteur, et c'est précisément pour cela que la mise à jour compte plus que la prudence de navigation. Ne la confondez pas avec la faille de CoreGraphics corrigée fin septembre, un sujet distinct que nous détaillons dans notre article sur iOS 26.7.1 et iOS 27.0.1.

Pour aller plus loin : installer iOS 27 et vérifier la compatibilité de son modèle, sauvegarder et restaurer son iPhone avant toute réinitialisation, et, pour retrouver les fiches de votre modèle, tous nos guides iPhone.