WhatsApp : comment fonctionne la nouvelle attaque zero-click qui menace vos données

Attention, le danger rôde sur WhatsApp. Une nouvelle attaque zero-click menace les utilisateurs de l'app et cela peut causer des dégâts.

WhatsApp, avec ses plus de deux milliards d’utilisateurs, est devenu un terrain privilégié pour les escrocs. Les arnaques y prennent des formes variées et la vigilance reste donc de mise.

WhatsApp : des arnaques de plus en plus présentes

Les arnaques sur WhatsApp reposent toutes sur un même principe. Jouer sur la confiance et la rapidité de l’application et l’une des plus courantes est celle de l’usurpation d’identité.

Les fraudeurs se font ainsi passer pour un proche en détresse, souvent un enfant ou un ami prétendant avoir changé de numéro. Et demandent de l’argent en urgence.

Cette mise en scène, appuyée par un ton dramatique, pousse parfois les victimes à effectuer un virement sans vérifier. D’autres manipulations exploitent les liens frauduleux.

Les victimes reçoivent un message promettant un cadeau, un bon d’achat ou une réduction exceptionnelle. En cliquant, elles se voient ainsi redirigées vers des sites imitant des pages officielles, qui dérobent leurs données bancaires ou personnelles.

Certaines arnaques visent même à installer des logiciels espions sur le téléphone. Elles sont donc capables de récupérer mots de passe et informations sensibles.

Les cybercriminels utilisent aussi des campagnes de phishing déguisées en messages de sécurité de WhatsApp. Ils invient ainsi à réactiver le compte ou à saisir un code reçu par SMS.

Des tentatives de fraudes qui se multiplient

Or, ce code permet en réalité de pirater directement le compte de la victime, qui perd alors l’accès à ses conversations. Pour se protéger, quelques réflexes simples suffisent.

Ne jamais transférer d’argent sans vérification téléphonique, rester méfiant face aux offres trop alléchantes. Mais aussi éviter de cliquer sur des liens suspects et activer la double authentification dans les paramètres de WhatsApp.

Car si la messagerie est pratique et rapide, elle peut aussi devenir une porte ouverte aux escroqueries lorsqu’on baisse la garde. Ces derniers mois, WhatsApp a beaucoup fait parler d’elle grâce à ses innovations liées à l’intelligence artificielle.

Mais la messagerie instantanée de Meta s’est récemment retrouvée sous le feu des projecteurs pour une raison bien plus inquiétante. Elle a été la cible d’une campagne d’espionnage numérique d’une ampleur inédite.

La plateforme vient en effet de colmater une faille critique qui ouvrait la voie à des attaques dites « zero-click ». Leur particularité ? Elles permettent de pirater un appareil sans que l’utilisateur n’ait à cliquer sur un lien, télécharger un fichier.

Ou même interagir de quelque manière que ce soit. Répertoriée sous le code CVE-2025-55177, cette vulnérabilité touchait les versions iOS et macOS de WhatsApp.

Une nouvelle faille dangereuse découverte sur WhatsApp

Elle exploitait un défaut d’autorisation dans la gestion des messages de synchronisation entre appareils liés. Résultat : un attaquant pouvait injecter du contenu externe directement sur l’appareil de la victime.

Cette faille a ensuite été combinée avec une autre vulnérabilité d’Apple, identifiée sous CVE-2025-43300, nichée dans le framework Image I/O. Ce composant central, chargé de traiter les images dans iOS et macOS, pouvait être exploité via un fichier malveillant.

Les pirates parvenaient ainsi à prendre le contrôle d’un appareil sans clic. Sans ouverture de lien et sans la moindre action de l’utilisateur.

D’après AmnestyTech, des journalistes, des ONG et des travailleurs humanitaires auraient figuré parmi les cibles de ces intrusions. La riposte de WhatsApp et Apple WhatsApp a reconnu l’ampleur de la menace.

Tout en précisant que moins de 200 personnes dans le monde auraient été affectées. L’entreprise a notifié les utilisateurs concernés et publié des mises à jour correctives sur iOS et macOS.

De son côté, Apple a renforcé la sécurité de son module Image I/O en intégrant de nouvelles vérifications mémoire. Mais ce n’est pas une première pour la firme : dès 2022, elle avait introduit le mode « Lockdown ».

Un dispositif de défense jugé « extrême » contre ce type d’attaques. WhatsApp conseille toutefois aux victimes potentielles de procéder à une réinitialisation complète de leur appareil en plus d’installer les dernières mises à jour d’Apple.

Contrairement au phishing classique, où l’utilisateur doit cliquer sur un lien ou télécharger une pièce jointe, les attaques « zero-click » s’exécutent totalement en arrière-plan. Elles représentent donc l’arme rêvée des cyberespions.

Elles peuvent viser des appareils à jour et contourner les protections les plus récentes. Cette technique rappelle directement le scandale Pegasus, le logiciel espion de la société NSO Group.

B. L.

Salut, je suis Ruben, le nouveau rédacteur web de Tuxboard.com. Fraîchement diplômé d'une école de journalisme à Paris, je suis passionné par l'actualité des médias, les émissions de télévision et la sociologie. Je suis enthousiaste à l'idée de partager avec vous mes articles et mes décryptages de l'actualité sur Tuxboard.