Comment détecter un logiciel espion sur iPhone sans installer d’application

Si vous lisez ces lignes, quelque chose vous a sans doute déjà mis mal à l’aise. Une batterie à plat dès midi. Un ou une partenaire qui sait des choses que vous ne lui avez jamais dites. Un téléphone qui semblait chaud dans votre poche pendant la nuit. Vous avez cherché une application capable d’analyser votre iPhone et de vous dire la vérité, et vous en avez trouvé des dizaines dans l’App Store.

Voici ce qu’aucun vendeur de ces applications n’a envie d’expliquer : sur un iPhone, elles ne peuvent pas faire ce que vous croyez qu’elles font.

Pourquoi les antivirus pour iPhone ne peuvent pas trouver de logiciel espion

iOS place chaque application dans un bac à sable. Une application voit ses propres fichiers et rien d’autre. Elle ne peut pas lire les données d’une autre application, elle ne peut pas lister les processus en cours sur votre téléphone et elle ne peut pas examiner les fichiers système. Cette conception est l’une des raisons pour lesquelles les iPhone sont difficiles à infecter, et c’est réellement une bonne chose pour vous.

Mais c’est à double tranchant. Le même mur qui empêche une application malveillante de lire votre application bancaire empêche aussi une application de sécurité de trouver l’application malveillante. L’analyse complète du système n’existe pas sur iOS, parce qu’Apple ne l’autorise pas. Tout produit de l’App Store présenté comme un antivirus pour iPhone se contente, au mieux, de vérifier vos réglages Wi-Fi, de vous avertir des sites web malveillants et de vous signaler que votre version d’iOS n’est pas à jour.

C’est d’autant plus important pour les menaces qui vous inquiètent justement. Les logiciels espions mercenaires comme Pegasus exploitent des failles profondes du système d’exploitation, à un niveau qu’aucune application enfermée dans le bac à sable ne peut observer. Un outil qui fonctionne dans le bac à sable cherche un cambrioleur alors qu’il est lui-même enfermé dans un placard.

Alors, si l’on ne peut pas analyser le téléphone depuis le téléphone, que peut-on réellement faire ?

Cinq vérifications à faire vous-même en dix minutes

Aucune n’est concluante. Toutes valent la peine d’être faites, et plusieurs ont déjà permis de repérer de véritables intrusions.

1. Cherchez une notification de menace d’Apple

Apple surveille les campagnes de logiciels espions de niveau étatique et avertit les personnes qu’elle pense avoir été ciblées. Depuis 2021, elle a averti des utilisateurs dans plus de 150 pays ; une seule campagne, en avril 2024, a touché des personnes dans 92 pays.

Connectez-vous sur account.apple.com et cherchez un bandeau d’alerte en haut de la page. Apple envoie aussi des e-mails et des iMessages de notification aux adresses associées à votre identifiant Apple.

Une mise en garde essentielle : comme ces notifications sont effrayantes et bien connues, elles sont un déguisement de choix pour les arnaques. Une véritable notification de menace d’Apple ne vous demande jamais de cliquer sur un lien, d’installer quoi que ce soit, d’ouvrir un fichier ni de communiquer votre mot de passe. Si un message fait l’une de ces choses, il ne vient pas d’Apple. Vérifiez en vous connectant vous-même sur account.apple.com, en tapant l’adresse à la main.

2. Vérifiez les profils de configuration

Un profil de configuration est une fonction légitime d’iOS qui permet à un employeur ou à un établissement scolaire de gérer un appareil. C’est aussi l’un des rares moyens autorisés d’installer une surveillance durable sur un iPhone sans exploiter de faille, et c’est pourquoi certains logiciels de traque commerciaux (stalkerware) demandent à la personne d’en installer un pendant qu’elle a votre téléphone entre les mains.

Allez dans Réglages, puis Général, puis VPN et gestion de l’appareil. Sur un iPhone personnel normal, cet écran est vide, ou ne contient que des profils de votre employeur que vous reconnaissez. Tout ce que vous ne reconnaissez pas mérite une explication avant d’être supprimé.

3. Passez en revue ce que vos applications ont le droit de voir

Allez dans Réglages, puis Confidentialité et sécurité, et passez en revue Service de localisation, Micro, Appareil photo, Photos et Contacts. Vous ne cherchez pas ici un logiciel espion. Vous cherchez des applications ordinaires dotées d’autorisations extraordinaires, car la forme la plus courante de surveillance d’un téléphone n’est pas du tout un logiciel malveillant exotique. C’est une application de partage familial, un service de sauvegarde de photos ou une application de prise de notes que quelqu’un a installée et discrètement reliée à son propre compte.

Pendant que vous y êtes, ouvrez Réglages, puis votre nom en haut de l’écran, et vérifiez la liste des appareils connectés à votre identifiant Apple. Un appareil que vous ne reconnaissez pas signifie que quelqu’un peut lire vos sauvegardes iCloud, et donc vos messages.

4. Cherchez des signes de jailbreak

La plupart des logiciels espions persistants pour iPhone ont besoin d’un appareil jailbreaké. Si votre téléphone a été jailbreaké à votre insu, vous trouverez peut-être une application que vous n’avez jamais installée, nommée Cydia, Sileo ou Zebra. Recherchez ces noms sur votre téléphone. Leur présence ne prouve pas que vous êtes espionné, mais elle prouve que quelqu’un a retiré les protections d’Apple de votre appareil.

5. Comparez la batterie et les données avec vos habitudes

Ouvrez Réglages, puis Batterie, et regardez les dix derniers jours. Puis Réglages, puis Données cellulaires, et parcourez la consommation par application. Vous cherchez quelque chose qui ne correspond pas à votre usage réel du téléphone : une application que vous n’ouvrez jamais en haut de la liste de la batterie, ou des données en arrière-plan qui se comptent en gigaoctets.

Considérez-le comme le plus faible des cinq signaux. Une batterie usée, une mise à jour d’iOS ou une photothèque qui se synchronise au retour de vacances produisent toutes le même schéma. Une consommation inexpliquée est une raison de regarder de plus près, pas un verdict.

Ce que ces vérifications ne peuvent pas vous dire

Tout ce qui précède se passe à l’intérieur du bac à sable, ce qui signifie que tout cela peut être déjoué par un logiciel sophistiqué. Un logiciel espion « zéro clic » ne laisse aucune icône, ne demande aucune autorisation et ne vous demande de toucher à rien. Il peut être installé par un message que vous n’avez jamais ouvert, et certaines variantes ne survivent même pas à un redémarrage, ce qui les rend encore plus difficiles à prendre sur le fait.

Des traces existent pourtant. Elles ne se trouvent simplement pas là où iOS laisse les applications regarder. Elles se trouvent dans les journaux de plantage, dans des bases de données qui enregistrent quels processus ont utilisé le réseau et à quel moment, dans un petit fichier système qui enregistre les arrêts de l’appareil, et dans les métadonnées d’une sauvegarde chiffrée. Pour les lire, il faut sortir du bac à sable, et il n’existe qu’une seule façon pratique de le faire.

Comment fonctionne une analyse depuis un ordinateur

Branchez l’iPhone à un ordinateur avec un câble et le téléphone produira une sauvegarde complète, ainsi que des données de diagnostic qu’aucune application installée sur l’appareil n’a le droit de lire. Cette sauvegarde peut ensuite être comparée à des indicateurs de compromission connus : domaines que les logiciels espions mercenaires sont connus pour contacter, noms de processus qu’ils créent, traces qu’ils laissent derrière eux.

C’est la méthode qu’utilisent les chercheurs qui mettent réellement ces campagnes au jour. Le Security Lab d’Amnesty International publie un outil open source, le Mobile Verification Toolkit, qui fait précisément cela, et qui a servi de base à l’enquête Projet Pegasus en 2021. Il est gratuit, il est réputé, et c’est un outil en ligne de commande qui suppose que vous êtes à l’aise pour installer des paquets Python et interpréter des résultats d’analyse forensique.

C’est là que se situe, honnêtement, la difficulté. La méthode est solide et les outils sont publics, mais l’écart entre une personne inquiète et une analyse forensique qui fonctionne est grand. Combler cet écart, c’est la raison d’être de Haris Shield : une analyse depuis un ordinateur, avec les mêmes indicateurs publics, et un rapport que vous pouvez lire sans terminal. La version actuelle n’analyse pas de sauvegarde complète. Elle lit les journaux de plantage et les profils installés par le câble, ainsi qu’un sysdiagnose si vous en importez un ; la page Fonctionnement donne la liste complète.

Si vous trouvez quelque chose, lisez ceci avant de le supprimer

C’est la partie la plus importante de cet article, et c’est celle que la plupart des guides passent sous silence.

Si vous soupçonnez que la personne qui vous surveille fait partie de votre entourage — un ou une partenaire, un ex, un membre de votre famille, un employeur —, supprimer le logiciel espion n’est pas forcément la première chose à faire. De nombreux logiciels de traque préviennent la personne qui les a installés dès qu’ils sont désactivés. Dans une situation d’emprise ou de violence, le moment où la surveillance s’arrête est le moment où la personne qui vous observe sait que vous l’avez découverte. Ce risque d’escalade est documenté, ce n’est pas une hypothèse.

La Coalition Against Stalkerware, qui réunit des associations de lutte contre les violences conjugales et des entreprises de sécurité, est très claire à ce sujet : supprimer un logiciel de traque supprime aussi les preuves, et ces preuves peuvent compter si vous allez voir la police.

Un ordre d’action plus sûr :

1. Ne faites encore rien sur le téléphone. Ne confrontez personne.
2. Demandez d’abord conseil, depuis un appareil auquel l’autre personne n’a jamais eu accès. Une association spécialisée dans les violences conjugales peut vous aider à planifier les étapes.
3. Conservez une trace de ce que vous avez trouvé. Un rapport d’analyse forensique vaut plus qu’une capture d’écran.
4. Changez vos mots de passe et activez l’authentification à deux facteurs depuis un autre appareil, pas depuis le téléphone que vous soupçonnez.
5. Ce n’est qu’ensuite que vous déciderez de la suppression, idéalement en étant accompagné.

Si vous n’êtes pas dans cette situation et que l’intrusion ressemble à de la délinquance ordinaire ou à l’œuvre d’un attaquant inconnu, le calcul est plus simple. Mettez iOS à jour, supprimez ce que vous avez trouvé, changez le mot de passe de votre identifiant Apple et envisagez une réinitialisation aux réglages d’usine sans restaurer la sauvegarde suspecte.

Devenir une cible plus difficile

• Activez le mode Isolement si vous avez de vraies raisons de penser que vous êtes ciblé. Il se trouve dans Réglages, Confidentialité et sécurité, et il désactive les types de pièces jointes et les fonctions web sur lesquels reposent ces attaques. Apple a déclaré n’avoir connaissance d’aucune attaque réussie par un logiciel espion mercenaire contre un appareil dont le mode Isolement était activé. Certaines choses cessent de fonctionner, et c’est tout l’intérêt.
• Installez les mises à jour d’iOS dès leur sortie. La plupart de ces campagnes reposent sur des failles qu’Apple a déjà corrigées.
• Utilisez un code que personne d’autre ne connaît, et vérifiez qu’aucun visage Face ID ni aucune empreinte Touch ID supplémentaire n’a été ajouté.
• Ne jailbreakez pas votre iPhone, et ne laissez personne le faire à votre place.
• Passez en revue les appareils associés à votre identifiant Apple tous les deux ou trois mois.

En bref

On ne peut pas rechercher un logiciel espion sur un iPhone depuis l’iPhone lui-même. Tout ce qui prétend le contraire est limité par un bac à sable dont il ne peut pas sortir. Ce que vous pouvez faire vous-même, c’est chercher des notifications de menace d’Apple, des profils de configuration inattendus, des applications aux autorisations excessives, des traces de jailbreak et une consommation qui ne correspond pas à vos habitudes. Au-delà, la seule vraie réponse est une analyse depuis un ordinateur.

Et si vous trouvez quelque chose et que quelqu’un de votre entourage pourrait en être à l’origine, demandez conseil avant de toucher à quoi que ce soit. L’analyse est la partie facile.

Sources

• Apple, À propos des notifications de menace d’Apple et de la protection contre les logiciels espions mercenaires : support.apple.com/en-us/102174
• Amnesty International Security Lab, rapport méthodologique d’analyse forensique : comment détecter Pegasus de NSO Group : amnesty.org
• Mobile Verification Toolkit : mvt.re
• Coalition Against Stalkerware, informations pour les victimes : stopstalkerware.org/information-for-survivors

À lire aussi : comment détecter un logiciel espion sur Android, logiciels de traque : les signes, et ce qu’il ne faut pas faire, vérifier si Pegasus est sur votre iPhone, les vérifications gratuites qui fonctionnent vraiment et comment supprimer un logiciel espion sans danger.