Nouvelles alertes Apple contre les logiciels espions mercenaires : signification et vérification de leur authenticité

Signalements des utilisateurs et signification de l’alerte

Le 13 août 2026, certains utilisateurs ont signalé sur Reddit avoir reçu de nouvelles Apple Threat Notifications, les alertes par lesquelles Apple informe les propriétaires d’iPhone lorsqu’elle estime qu’ils ont été ciblés par un logiciel espion mercenaire.

Il ne s’agit pas de simples notifications de sécurité. Apple les considère comme des alertes à haut niveau de confiance, établies à partir d’activités d’enquête et de renseignements sur les menaces. L’entreprise ne garantit pas une certitude absolue, mais indique que les destinataires présentent une forte probabilité d’avoir été sélectionnés individuellement comme cibles.

Apple distribue ce type de notification plusieurs fois par an depuis 2021. Cette nouvelle campagne ne signale donc pas l’introduction d’une fonctionnalité récente, mais une nouvelle vague d’alertes adressées à des cibles potentielles.

L’entreprise n’a pas publiquement attribué ces notifications à un gouvernement, un groupe criminel, une société ou une région géographique spécifique. Il est donc impossible de déterminer, à partir de la seule alerte, qui a mené l’opération.

Qui est ciblé et pourquoi ces attaques sont différentes

Les logiciels espions mercenaires sont généralement utilisés dans le cadre d’opérations très ciblées visant un nombre limité de personnes. Les cibles potentielles comprennent notamment des journalistes, des militants, des responsables politiques et des diplomates, c’est-à-dire des personnes susceptibles de traiter des informations sensibles ou de mener des activités déplaisant à certains gouvernements et organisations.

Selon Apple, ces campagnes peuvent nécessiter des investissements de plusieurs millions de dollars. Les opérateurs utilisent des outils sophistiqués, souvent pendant de courtes périodes, afin de réduire les risques de détection et d’analyse de l’attaque.

L’immense majorité des utilisateurs d’iPhone n’est pas visée par ce type d’activité. La réception d’une telle alerte constitue toutefois un signal différent d’une recommandation de sécurité classique : elle indique qu’Apple a observé des éléments compatibles avec un ciblage individuel.

Apple cite NSO Group et son logiciel espion Pegasus comme exemple historique de logiciel espion mercenaire. Dans certains cas précédents, des analyses forensiques ont confirmé des infections par Pegasus après la réception d’une Threat Notification. Cela ne prouve toutefois pas que les alertes distribuées le 13 août concernent Pegasus.

Apple n’associe pas publiquement chaque notification au logiciel espion utilisé.

Éléments concernés et mode de transmission de l’alerte

Les alertes concernent principalement l’écosystème de l’utilisateur, et non une version précise d’iOS rendue publique. Les produits et services concernés sont les suivants :

• iPhone ;
• Apple Account ;
• Apple Threat Notification ;
• Lockdown Mode ;
• le portail account.apple.com.

Les versions logicielles exactes concernées n’ont pas été communiquées. L’affaire n’a pas été présentée comme une vulnérabilité accompagnée d’une liste de versions vulnérables, mais comme une activité de ciblage détectée grâce aux renseignements sur les menaces recueillis par Apple.

L’entreprise affirme envoyer ces alertes aux utilisateurs de plus de 150 pays. Elles sont transmises par :

• email aux adresses associées à l’Apple Account ;
• iMessage aux numéros de téléphone liés au compte.

Les messages proviennent généralement de l’adresse [email protected]. Cet élément ne suffit toutefois pas à prouver l’authenticité du message : des campagnes de phishing peuvent imiter l’expéditeur, la présentation et le langage des communications Apple.

Pour éviter que les opérateurs de logiciels espions n’adaptent leurs outils, Apple ne divulgue pas les critères techniques qui déclenchent l’envoi d’une Threat Notification. L’entreprise doit donc trouver un équilibre entre informer rapidement la personne ciblée et ne pas révéler les traces ayant permis la détection.

Comment distinguer une véritable alerte d’une tentative de phishing

Une notification authentique ne demande pas d’effectuer immédiatement des actions depuis le message. Apple ne demande notamment pas de :

• cliquer sur des liens présents dans l’email ou l’iMessage ;
• ouvrir des pièces jointes ;
• installer des applications, profils ou certificats ;
• communiquer le mot de passe de l’Apple Account ;
• fournir des codes de vérification.

La vérification doit être effectuée en accédant manuellement à account.apple.com, sans utiliser les liens contenus dans la communication. Après authentification, une véritable alerte apparaît en haut de la page.

Cette étape est essentielle, car un faux message peut exploiter la gravité du sujet pour dérober des identifiants, des codes d’authentification multifacteur ou obtenir l’installation de composants malveillants. Même une communication provenant d’une adresse apparemment correcte ne doit pas être considérée comme valide avant vérification sur le portail Apple.

Le message n’identifie par ailleurs pas nécessairement le logiciel espion et ne constitue pas, à lui seul, la preuve forensique d’une infection réussie. Il indique plutôt que l’utilisateur a été considéré comme une cible hautement prioritaire et qu’Apple a détecté suffisamment de signaux pour l’en avertir.

Que faire après réception de l’alerte

Toute personne qui reçoit une Threat Notification doit la traiter comme un possible cas de compromission ou de ciblage ciblé, et non comme un simple email informatif.

La première étape consiste à vérifier l’alerte directement sur account.apple.com. Si la notification est présente, il est recommandé d’éviter toute interaction avec les liens, pièces jointes, profils ou demandes d’identifiants contenus dans les messages reçus.

Apple recommande également d’activer le Lockdown Mode sur l’iPhone. Cette fonctionnalité réduit certaines fonctions et limite les surfaces d’attaque exploitables par des menaces très sophistiquées. Elle peut avoir un impact sur l’expérience utilisateur, mais elle est conçue précisément pour les personnes qui pensent être exposées à des opérations ciblées.

Il est également conseillé de consulter un spécialiste de la cybersécurité afin d’analyser l’appareil et l’Apple Account. Une investigation professionnelle peut contribuer à préserver les preuves, à évaluer d’éventuels signes de compromission et à vérifier les autres comptes ou appareils associés.

Apple n’a pas communiqué, à ce jour, de détails techniques spécifiques sur cette nouvelle distribution d’alertes. Il n’existe donc pas d’indicateurs publics associés à cette campagne, tels que des hash, des domaines, des exploits ou une signature attribuée à un logiciel espion particulier. La présence de la notification sur le compte et l’analyse ultérieure de l’appareil restent les éléments les plus importants pour distinguer un risque réel d’une tentative d’imitation.