Failles zero-click sur Android : 5 réflexes pour vous protéger
Il existe une catégorie d’attaques sur smartphone qui a de quoi filer des sueurs froides : celles qui n’exigent aucune action de votre part. Pas de lien à cliquer, pas de pièce jointe à ouvrir, parfois même pas de notification. On appelle ça une attaque zero-click (« zéro clic »), et c’est l’arme de prédilection des logiciels espions les plus sophistiqués.
Le rappel est venu ce printemps avec une faille dans les puces Qualcomm qui équipent des centaines de millions d’appareils Android. Elle a beau être corrigée depuis mars, la vraie question reste posée : votre téléphone a-t-il reçu le correctif ? Parce que ça, ça ne dépend pas de Google, mais de votre fabricant. Je vais vous donner cinq réflexes concrets pour réduire les risques pendant cette fenêtre où vous attendez le patch. Ils valent pour le zero-click comme pour la plupart des attaques à distance.
📌 L’essentiel à retenir
Une attaque zero-click compromet un smartphone sans aucune action de votre part : la simple réception d’un contenu piégé suffit. La faille Qualcomm CVE-2026-21385, corrigée en mars 2026, a rappelé le vrai problème d’Android : le délai entre le correctif et son arrivée sur votre modèle. En attendant, cinq réflexes limitent la casse : mises à jour automatiques activées, aperçu automatique des médias coupé dans vos messageries, permissions passées au crible, applications inutiles désinstallées et vieux appareils écartés des usages sensibles.
Zero-click : c’est quoi, et pourquoi c’est le pire scénario
Une attaque classique a besoin de vous. Un phishing (hameçonnage) vous pousse à cliquer, une pièce jointe piégée attend que vous l’ouvriez. Vous restez le dernier rempart : si vous ne mordez pas, l’attaque échoue.
Le zero-click supprime ce rempart. L’attaquant exploite une faille dans un composant qui traite des données automatiquement, avant même que vous n’interveniez : le module qui affiche l’aperçu d’une image reçue, qui décode un message vocal, qui prépare la miniature d’un fichier. Le simple fait que votre téléphone reçoive le contenu piégé suffit à déclencher l’infection. Vous n’avez rien fait, et pourtant c’est plié. Ces attaques sont rares, coûteuses, et visent surtout des cibles précises (journalistes, opposants, dirigeants), comme le tristement célèbre logiciel espion Pegasus. Mais les techniques finissent toujours par se démocratiser.
La faille Qualcomm qui a servi de piqûre de rappel
Soyons précis, parce que la nuance compte. La faille dont on a beaucoup parlé, référencée CVE-2026-21385 (score de sévérité 7,8 sur 10), touche le composant graphique des puces Qualcomm. Techniquement, ce n’est pas à proprement parler du zero-click : son exploitation demande un accès local à l’appareil, et elle a été utilisée dans des attaques ciblées et limitées, le profil typique des logiciels espions haut de gamme. Je préfère être honnête là-dessus plutôt que de vous vendre une panique.
Ce qu’elle illustre en revanche parfaitement, c’est le vrai problème d’Android : le décalage des correctifs. Google et Qualcomm ont livré le patch dès mars 2026. Mais entre ce moment et celui où la mise à jour arrive vraiment sur votre modèle, il peut se passer des semaines, voire des mois selon la marque. Pendant tout ce temps, l’appareil reste vulnérable alors que la solution existe. Cette faille visait, selon les estimations, des centaines de millions d’appareils. Voilà pourquoi ces réflexes ne sont pas du luxe.
5 réflexes pour réduire les risques
Aucun de ces gestes ne rend un téléphone invulnérable, soyons clairs. Mais ensemble, ils réduisent nettement la surface qu’un attaquant peut viser, et ils vous couvrent en attendant le correctif de votre fabricant.
1. Activez toutes les mises à jour automatiques
C’est le geste numéro un, et de loin. Le jour où votre fabricant pousse le correctif, vous voulez le recevoir tout de suite, pas dans trois semaines. Activez les mises à jour système automatiques, mais aussi les mises à jour du système Google Play, qui colmatent certains composants sans attendre la grosse mise à jour de la marque. Et gardez le téléchargement automatique des applications activé dans le Play Store : une app pas à jour est une porte de plus.
2. Coupez l’aperçu automatique des médias dans vos messageries
C’est le vecteur classique du zero-click. Une image ou une vidéo qui s’affiche toute seule, c’est un composant qui traite un fichier venu de l’extérieur sans votre accord. Dans WhatsApp, Signal, Telegram ou votre app de messages, désactivez le téléchargement automatique des médias. Vous garderez la main pour ouvrir ce que vous voulez, quand vous voulez, en connaissance de cause. C’est un petit renoncement au confort pour un vrai gain de sécurité.
3. Faites le ménage dans les permissions
Passez en revue ce que vos applications ont le droit de faire. Une lampe torche n’a pas besoin d’accéder à vos contacts, un jeu n’a rien à faire avec votre micro. Dans les réglages de confidentialité d’Android, vous pouvez voir appli par appli qui accède à la caméra, au micro, aux fichiers, à la localisation. Retirez tout ce qui n’a pas de raison d’être. Moins une app a de droits, moins elle est dangereuse si elle est compromise.
4. Réduisez le nombre d’applications installées
Chaque application est une porte d’entrée potentielle. Celles que vous n’ouvrez plus depuis six mois ne servent à rien, sauf à élargir la surface d’attaque et à tourner en arrière-plan. Désinstallez-les. Et tenez-vous-en au Play Store officiel : installer des applications depuis des sites tiers, c’est contourner le seul filtre de sécurité automatique dont vous disposez. Si une source vous pousse à activer l’installation d’applications inconnues, méfiance immédiate.
5. Isolez les appareils qui ne reçoivent plus de correctifs
Un vieux téléphone qui n’a plus de mises à jour de sécurité depuis longtemps ne se corrigera jamais, quoi que vous fassiez. Ne l’utilisez plus pour vos usages sensibles : banque, messagerie principale, e-mails importants. Reléguez-le à un rôle secondaire (musique, réveil, un jeu hors ligne) et basculez le reste sur un appareil encore suivi. Vérifiez d’ailleurs la date de fin de support annoncée par votre marque au moment d’acheter : c’est un critère au moins aussi important que l’appareil photo.
Ce que je ferais ce soir
Si vous ne devez retenir que trois gestes, les voici. Vérifiez que les mises à jour automatiques sont bien actives, système et Google Play compris, pour ne jamais rater un correctif. Coupez le téléchargement automatique des médias dans vos messageries, parce que c’est la voie royale du zero-click. Et allez regarder la date de dernier correctif de sécurité de votre téléphone dans ses réglages (Réglages, puis À propos du téléphone, puis Niveau du correctif de sécurité) : si elle remonte à plus de quelques mois, c’est le signal qu’il est temps de forcer une mise à jour ou d’envisager un changement.
Ma conviction pour finir : contre les attaques les plus avancées, le particulier ne peut pas grand-chose une fois la faille exploitée. Mais il peut énormément avant, en réduisant la surface offerte et en installant les correctifs sans traîner. La sécurité mobile, ce n’est pas de la magie. C’est de l’hygiène, et elle est à votre portée.
Foire aux questions
C’est une attaque qui compromet votre téléphone sans que vous ayez rien fait : ni clic, ni ouverture de pièce jointe. L’attaquant exploite une faille dans un composant qui traite automatiquement les contenus reçus, comme l’aperçu d’une image dans une messagerie. La simple réception du contenu piégé suffit à déclencher l’infection.
Ouvrez les Réglages, puis À propos du téléphone, et cherchez la ligne Niveau du correctif de sécurité Android. Si la date affichée remonte à plus de deux ou trois mois, votre appareil accuse un retard. Forcez alors une recherche manuelle dans le menu Mise à jour du système.
Pas vraiment. Une attaque zero-click exploite une faille du système ou d’un composant avant toute intervention de votre part, et un antivirus classique n’a aucun moyen de la bloquer à ce stade. Les vraies protections restent les mises à jour rapides et la réduction de la surface d’attaque.
Elle touche 235 chipsets Qualcomm, soit une grande partie des Android équipés d’une puce Snapdragon. Le correctif est diffusé depuis le niveau de sécurité du 5 mars 2026. Si votre téléphone affiche un correctif de mars 2026 ou plus récent, vous êtes couvert.
Oui, c’est une bonne habitude. Certains logiciels espions ne survivent pas à un redémarrage, car ils ne s’installent pas durablement sur l’appareil. Un redémarrage quotidien ne remplace pas les correctifs, mais il complique la vie des attaquants sans rien vous coûter.
Ne l’utilisez plus pour la banque, les e-mails importants ou votre messagerie principale. Reléguez-le à des usages secondaires et basculez vos comptes sensibles sur un appareil encore suivi par son fabricant. Un téléphone sans correctifs restera vulnérable, quoi que vous fassiez.
Cela pourrait aussi vous intéresser
Commentaires
Laisser un commentaire