Vous pensez qu’Apple est toujours sûr et sécurisé ? Détrompez-vous.

Apple n’est pas étranger aux incidents de sécurité, qu’il s’agisse de piratages, de violations ou de vulnérabilités. Vous n’êtes peut-être pas conscient de ces différents problèmes, et certains peuvent encore vous mettre en danger. Alors, quels hacks, violations et vulnérabilités Apple devez-vous connaître ?

Hacks et violations d’Apple
Apple a connu son lot de piratages au fil des ans, certains étant plus graves que d’autres. Commençons par un piratage qui a eu lieu il y a plus de dix ans.

1. Piratage XCodeGhost (2015)

En 2015, 128 millions d’utilisateurs d’iPhone ont été victimes d’un piratage informatique. Les pirates ont utilisé une version malveillante de XCode, l’environnement de développement d’Apple pour tous ses systèmes d’exploitation, y compris iOS. Avec ce malware, connu sous le nom de XCodeGhost, les pirates ont réussi à compromettre une cinquantaine d’applications de l’App Store d’Apple. Ceux qui avaient téléchargé les applications concernées étaient vulnérables au piratage, et on estimait à l’époque qu’environ 500 millions d’utilisateurs étaient en danger.

Bien que cette estimation gigantesque se soit avérée un peu inférieure en réalité, les documents fournis lors de la bataille judiciaire d’Apple contre Epic Games ont révélé que 128 millions de personnes étaient toujours concernées, dont 18 millions d’utilisateurs aux États-Unis (tel que rapporté par Security Affairs ) .

Ce qui est particulièrement controversé à propos de cet incident, c’est qu’à l’époque, Apple avait décidé de ne pas informer les utilisateurs à risque de l’attaque. Il a fallu encore six ans pour que le public prenne conscience de la véritable nature du piratage, qui a été révélé lors du procès Apple contre Epic Games susmentionné.

2. Logiciel espion Pegasus (à partir de 2016)

Le célèbre logiciel espion Pegasus a été lancé pour la première fois en 2016, mais a acquis une notoriété mondiale en 2021 lorsqu’il a été utilisé pour exploiter iOS dans le cadre d’attaques très ciblées. Pegasus a été développé par le groupe israélien NSO, une organisation controversée qui a fait la une des journaux en matière de sécurité à plusieurs reprises dans le passé. Les pirates gouvernementaux utilisent désormais ce logiciel espion pour commettre leurs propres cybercrimes, c’est donc un nom familier pour les experts en cybersécurité. En fait, le groupe NSO a vendu son logiciel espion Pegasus à de nombreux gouvernements et États, dont l’Inde et le Mexique sans oublier la France.

Dans cet exploit Apple, une vulnérabilité iOS a été exploitée pour exécuter le logiciel espion Pegasus sur les iPhones. Une déclaration officielle d’Apple a expliqué que des fonctionnalités telles que le mode de verrouillage pourrait être utilisé pour se défendre contre de telles attaques, ainsi que des mots de passe forts et des mises à jour logicielles. Il a également été annoncé que les notifications de menaces seraient utilisées pour avertir les utilisateurs susceptibles d’avoir été ciblés par des attaquants parrainés par l’État.

3. SolarWinds (2021)

L’attaque de SolarWinds a ébranlé les secteurs de la technologie et de la cybersécurité en 2021, et Apple n’a pas réussi à esquiver l’onde de choc.

Lors de l’attaque SolarWinds, des pirates ont exploité une vulnérabilité du code Zero Day d’iOS 14 pour infiltrer les iPhones. Grâce à cette faille, les pirates ont utilisé des domaines malveillants pour rediriger les utilisateurs d’iPhone vers des sites de phishing. Cela a permis aux attaquants de voler les identifiants de connexion des utilisateurs, qui pourraient ensuite être utilisés soit pour pirater des comptes, soit pour les revendre à d’autres acteurs illicites sur des marchés illégaux.

4. Apple et violation des métadonnées (2021)

L’incident de sécurité Apple le plus récent a eu lieu à la mi-2021, lorsque le personnel d’Apple et de Meta a été trompé par des pirates se faisant passer pour des responsables de l’application des lois. Lors de cette attaque, les pirates ont d’abord piraté les comptes et les réseaux des forces de l’ordre, puis envoyé de fausses demandes de données urgentes aux employés des deux géants de la technologie, les exhortant à réagir rapidement. En réponse à cette demande apparemment officielle, les adresses IP, les adresses personnelles et les numéros de contact des utilisateurs ont été fournis.

Il est important de noter qu’Apple et Meta jure ne pas avoir fourni d’informations. Les systèmes légitimes de la police américaine ont été piratés par les attaquants afin d’envoyer la demande, ce qui a rendu la détection difficile.

Les vulnérabilités d’Apple

Les différents logiciels d’Apple, y compris ses systèmes d’exploitation, peuvent être victimes de vulnérabilités de code. Alors, de quoi devriez-vous être conscient ?

1. Vulnérabilités du noyau et WebKit 

En août 2022, Apple a annoncé avoir trouvé une vulnérabilité du noyau (officiellement connue sous le nom de CVE-2022-32894 ) qui permettait l’exécution de code arbitraire avec les privilèges du noyau. Apple a corrigé CVE-2022-32894 avec macOS Monterey. Ainsi, si vous avez installé manuellement cette mise à jour ou si vous utilisez une version de macOS plus récente que Monterey, vous devriez être prêt.

Parallèlement à cette vulnérabilité, une faille Apple WebKit a également été découverte. Cette faille risquait par ailleurs d’exécuter du code arbitraire en raison d’un contenu Web malveillant. identique à la vulnérabilité cité auparavant, la faille WebKit pour macOS Monterey est corrigée.

2. Vulnérabilités Blastpass 

En septembre 2023, deux vulnérabilités Apple Zero Day ont été découvertes comme ayant été utilisées par des attaquants. Les vulnérabilités, connues officiellement sous le nom de CVE-2023-41064 et CVE-2023-41061 , dans son logiciel iOS.

CVE-2023-41064 était une vulnérabilité de dépassement de tampon permettant l’exécution de code arbitraire et pouvait affecter tous les  iPhones depuis le modèle 8. Certains modèles d’iPad pourraient aussi être visés via cette faille. CVE-2023-41061, découvert peu de temps après la première des deux failles, était un problème de validation qui pouvait être exploité via des pièces jointes malveillantes.

Lorsqu’elles sont utilisées simultanément, elles formaient une chaîne d’exploitation connue sous le nom de « Blastpass » et faisaient partie de la chaîne de livraison du logiciel espion Pegasus du groupe NSO, comme le rapporte The Citizen Lab . « Blastpass » pourrait être utilisé pour pirater des iPhones et des iPads sans même que la victime ait besoin d’interagir avec des pages Web ou des communications. Celles-ci sont également connues sous le nom de vulnérabilités zéro clic .

Cependant, grâce au mode de verrouillage d’Apple, la chaîne peut être arrêtée net, l’empêchant d’infecter votre appareil. Un correctif est par ailleurs disponible pour les deux vulnérabilités exploitées.

3. Fondation vulnérable (2023)

Début 2023, c’est la troisième vulnérabilité « Zero Day » d’Apple découverte, mettant en danger de nombreux systèmes d’exploitation Apple, notamment iOS, iPadOS et macOS. Deux des vulnérabilités ont été découvertes dans le cadre de la Fondation Apple. Ces trois vulnérabilités, connues sous les noms de CVE-2023-23530 , CVE-2023-23531 et CVE-2023-23520 , ont donné aux attaquants la possibilité d’exécuter du code malveillant à distance sur les appareils infectés.

En février 2023, Apple a corrigé les trois failles de sécurité, vous ne devriez donc plus y être exposé si vous mettez régulièrement à jour votre appareil.

 

Apple n’est pas insensible aux hacks et aux vulnérabilités

Les logiciels et le matériel Apple sont hautement sécurisés, mais vous pouvez toujours courir des risques et des cyberattaques en tant qu’utilisateur Apple. Que vous utilisiez un téléphone, une tablette, un ordinateur ou une montre Apple, ne présumez jamais que vous êtes insensible aux problèmes de sécurité ! Il est toujours préférable de s’informer des dernières vulnérabilités, piratages et violations d’Apple afin de mieux vous protéger et de vous préparer aux futurs incidents.