« Ils scrollent et se font infecter » : des milliers de sites piégés peuvent pirater votre iPhone

Une vaste campagne qui infecte des iPhone à l’insu de leurs propriétaires vient d’être découverte. Pour parvenir à pirater les smartphones en restant sous le radar, les pirates détournent de vieilles « balises » publicitaires oubliées sur des milliers de sites. Ils arrivent ensuite, de fil en aiguille, à voler vos mots de passe et vos cryptomonnaies. Deux kits de piratage redoutables sont impliqués. Explications.

Deux entreprises de cybersécurité réputées, Report URI et iVerify, viennent de lever le voile sur une vaste cyberattaque à l’encontre de l’iPhone. Baptisée « DeadTag » par les chercheurs, l’opération vise à siphonner des portefeuilles de cryptomonnaies et à voler tous les mots de passe stockés sur l’appareil. L’offensive se distingue par sa capacité à agir sans avoir besoin de la moindre réaction de la part de la victime.

« Les utilisateurs ne visitent pas des sites malveillants. Ils ne font rien de mal. Ils scrollent, tout simplement, et se font infecter », explique Rocky Cole, PDG et cofondateur d’iVerify, dans un rapport.

Forgotten website tags are being turned into spyware delivery routes.

Working with iVerify, we traced DeadTag: 660+ hijacked domains, thousands of sites, and traffic feeding the Coruna and DarkSword iPhone exploit kits.

The investigation: https://t.co/iwh7rNhDBv https://t.co/XI6iBreI3T

— Report URI (@reporturi) October 22, 2026

A lire aussi : Alerte rouge sur l’iPhone – Apple prévient des centaines d’utilisateurs d’une opération espionnage

Une petite ligne de code oubliée

La cyberattaque repose sur l’utilisation massive de balises publicitaires oubliées sur des sites. En amont de l’attaque, un service tiers, comme un outil de statistiques ou une régie publicitaire, ferme ses portes pour une raison X ou Y. Le nom de domaine du service finit par expirer. La petite ligne de code, la « balise » qui permettait à des sites de communiquer avec l’outil, n’est pas systématiquement supprimée par les administrateurs. Elle reste incluse dans des milliers de sites, sans que personne ne s’en inquiète.

Les pirates rachètent ces noms de domaine expirés en vue de lancer leur attaque. Aussitôt, tous les sites qui chargeaient automatiquement encore l’ancienne balise se mettent à exécuter le code des cybercriminels. Personne ne se rend compte de quoi que ce soit, car la ligne de code à l’origine de l’attaque était déjà présente.

Le code des pirates fait le tri et ignore les robots et les scanners de sécurité. Il se concentre sur les visiteurs qui se servent d’un iPhone. Si l’internaute navigue sur le web par le biais d’iOS, il sera redirigé vers un faux site. En l’occurrence, il s’agit d’une page imitant l’interface de la plateforme de paris en ligne Polymarket. La page malveillante s’attaque directement au navigateur. Aucun clic et aucune installation d’un virus n’est nécessaire. En clair, « il suffit d’ouvrir la page » pour tomber dans le piège.

Si l’iPhone tourne sous une version d’iOS qui n’est pas à jour, un logiciel espion va s’installer. Celui-ci aspire le trousseau de mots de passe et les données des applications crypto (Binance, Coinbase, Trust Wallet…) installées sur le smartphone. Les identifiants et accès sont subtilisés, de manière à ce que les pirates s’emparent des cryptomonnaies stockées.

Les sites web ne sont pas le seul vecteur d’attaque. Les chercheurs d’iVerify ont aussi repéré une publicité piégée sur Instagram, sur le thème de la Coupe du monde. Cette publicité a infecté le téléphone d’un employé qui scrollait innocemment sur Instagram.

À lire aussi : Apple corrige plus de 300 failles de sécurité sur l’iPhone, l’iPad et le Mac

Des milliers de sites touchés

Scott Helme, fondateur de Report URI, assure que le code malveillant a été aperçu sur au moins 6 600 sites légitimes, totalisant 49 millions de visites par mois. Parmi eux, 248 sites, combinant 8 millions de visiteurs mensuels, servaient directement à diffuser le logiciel espion. Ce véritable « réseau de distribution » de virus prend de l’ampleur, car les pirates créent jusqu’à dix nouveaux domaines piégés par semaine.

Deux kits d’attaque sont exploités par les cybercriminels, vraisemblablement originaires de Chine. Les chercheurs ont d’abord repéré la présence de Coruna. Ce kit de piratage, élaboré par la NSA, est utilisé pour prendre le contrôle des iPhone les plus anciens. Pour les plus récents, les hackers se servent d’un autre kit redoutable, DarkSword. Les deux outils visent des failles de sécurité déjà corrigées par Apple.

Les pirates ciblent donc les retardataires qui n’ont pas mis à jour leur smartphone depuis longtemps. Pour éviter de se faire pirater en naviguant sur Internet, on vous recommande de garder votre iPhone à jour, en installant systématiquement tous les correctifs déployés par Apple.