Ce hack iPhone et iPad permet d’accéder aux photos et SMS sans code en quelques secondes

Un hack pour iPhone et iPad autorise à peu près n’importe qui à accéder aux photos contenues sur votre iPad ou votre iPhone sans connaître leur code. Le tout en à peine quelques secondes. Le plus surprenant est que cette exploitation d’une vulnérabilité de VoiceOver existe depuis longtemps. L’auteur de la démonstration montre que cette technique fonctionne au moins diOS 8 à la dernière version d’iOS 10. 

On doit bien admettre qu’en découvrant cette nouvelle faille de sécurité, nous sommes restés sceptiques. Surtout quand on sait à quel point la sécurité iOS donne du fil à retordre même à des acteurs comme le FBI. Avant de le tenter nous-même sur un iPhone pour se rendre compte à notre plus grande surprise que ça marche. Et apparemment depuis longtemps. Si bien qu’on se demande ce que fait Apple, généralement prompt à corriger les failles !

Pour accéder à l’ensemble des photos et des SMS d’un iPad ou iPhone auquel vous avez un accès physique, tout ce qu’il vous faut, c’est un autre iPhone ou iPad. Il faut d’abord appeler l’appareil de la victime avec FaceTime. Lorsque le smartphone ou la tablette reçoit l’appel en FaceTime, appuyez sur le bouton rouge comme pour rejeter l’appel. Un menu permettant de répondre par SMS s’affiche alors.

Vous accédez alors à une fenêtre permettant de répondre par SMS, mais sans barre permettant de choisir le correspondant. C’est là que l’astuce impliquent le bug de VoiceOver entre en scène. Demandez à Siri d’activer VoiceOver. Puis double-tapez la barre en haut du message, et tout en maintenant un doigt dessus tapez des lettres au hasard sur le clavier, jusqu’à ce que VoiceOver parle de “champ texte”. Lorsque c’est le cas, il suffit de continuer à taper pour voir les contacts apparaître comme si vous tapiez dans le champ À:.

Vous pouvez alors entrer dans n’importe quel contact, et consulter les pièces jointes, ou les sms échangés. À ce stade désactivez VoiceOver. En cliquant sur Créer un nouveau contact puis sur la photo, vous avez accès à l’ensemble des photos de l’appareil. Alors même qu’il est encore verrouillé. Le plus étonnant est que cette faille n’ait été découverte que maintenant alors que l’astuce fonctionne d’iOS 8 au tout nouveau iOS 10.

Il n’est pour l’instant pas possible de se protéger de la faille sans désactiver totalement Siri. La méthode est expliquée dans la vidéo ci-dessous.

La rédaction vous conseille :

• Numéro IMEI iPhone : le code pour savoir si vous achetez un modèle volé