Android vs iPhone : lequel est le plus sûr ? CVE, zero-days, prix des exploits et délais de correction en chiffres (2026)

Pour un exploit zero-click fonctionnel sur iPhone, les courtiers paient aujourd’hui jusqu’à 7 millions de dollars. Pour le même sur Android – jusqu’à 5 millions. Affaire classée, l’iPhone est plus sûr ? Pas si vite. En 2019, c’était exactement l’inverse : Zerodium payait 2,5 M$ pour Android et 2 M$ pour iOS, et son patron expliquait que le marché était tout simplement inondé d’exploits pour iPhone. 💥

« Michał, qu’est-ce qui est le plus sûr : iPhone ou Android ? » – on me pose cette question régulièrement. Des amis, des clients, des dirigeants qui sont justement en train de renouveler leur flotte de téléphones. Et je réponds toujours la même chose : ça dépend de ce que tu mesures. Parce que dans ce débat, tout le monde a un avis, mais peu de gens ont des chiffres.

Alors j’ai fait ce que je préfère : rassembler des données solides au même endroit. Le nombre de vulnérabilités (CVE), les zero-days utilisés dans de vraies attaques, la vitesse de correction, le prix des exploits sur le marché noir, les résultats des concours de hacking, les statistiques de malwares et de phishing, les programmes de bug bounty. Plus un rapide tour d’horizon du fonctionnement des protections des deux systèmes et de la façon dont de vraies attaques les ont contournées – y compris pourquoi une fonction conçue pour les personnes en situation de handicap est aujourd’hui l’outil préféré des voleurs sur Android. Chaque chiffre a une source et une date (liste à la fin). Et pour finir – le verdict et 7 choses que tout le monde devrait faire, quel que soit le logo au dos du téléphone.

Sommaire

1. Avant de comparer : une pomme contre un sac de pommes
2. Combien de CVE pour Android et pour iOS ?
3. Les zero-days dans de vraies attaques : 15 sur mobile en 2025
4. À quelle vitesse les vulnérabilités sont-elles corrigées ? Apple vs Google
5. Combien coûte une intrusion – les tarifs du marché noir et Pwn2Own
6. Quelle taille pour les équipes sécurité ? Bug bounty et filtrage des stores
7. Malwares et phishing : là où l’argent disparaît vraiment
8. Pegasus, Graphite et compagnie : qui est visé
9. Murs et portes dérobées : comment les attaques contournent les protections (et pourquoi l’accessibilité est dangereuse)
10. Verdict : le tableau des scores
11. 7 choses à faire quel que soit le système
12. FAQ

Avant de comparer : une pomme contre un sac de pommes

Une remarque honnête pour commencer, parce que sans elle, toute la comparaison serait faussée. L’iPhone, c’est un fabricant, un système et un store. « Android », c’est le Pixel de Google, Samsung avec sa propre surcouche et son propre bulletin de sécurité, Xiaomi, Motorola, et tout au bout de la chaîne, le téléphone à 100 euros acheté au supermarché, qui a reçu sa dernière mise à jour le jour de sa sortie. On compare donc une pomme à tout un sac de pommes plus ou moins fraîches.

L’échelle n’est pas symétrique non plus. Dans le monde, Android détient 69 % du marché, iOS 31 % (StatCounter, septembre 2026). En Pologne, les proportions sont plus serrées : 64 % Android, 36 % iOS. Plus de parts de marché, c’est un aimant plus puissant pour la criminalité de masse – un escroc écrit son cheval de Troie bancaire là où il a le plus de victimes potentielles.

Et puis il y a la durée du support, parce que c’est elle qui décide si un correctif t’atteindra un jour :

• Pixel 8 et plus récents : 7 ans de mises à jour système et de sécurité (Pixel 6/7 : 5 ans).
• Samsung Galaxy S24/S25 : 7 ans.
• Android moins chers : ça dépend du fabricant et du modèle, généralement nettement moins que les flagships. Avant d’acheter, vérifie la durée de mises à jour annoncée sur le site du fabricant.
• iPhone : Apple ne promet aucun nombre d’années. Mais iOS 27, sorti le 14 septembre 2026, tourne encore sur l’iPhone 11 de 2019 – soit environ 7 ans en pratique.

Leçon n° 1 : La question « Android ou iPhone » est mal posée. La bonne, c’est : « quel Android ? ». Un Pixel avec 7 ans de support et un sans-marque avec deux ans, ce sont deux mondes différents, même si tous les deux s’appellent Android.

Combien de CVE pour Android et pour iOS ?

Pour les non-techniciens : CVE, c’est un catalogue public de vulnérabilités – chaque faille divulguée reçoit un numéro, pour que tout le monde parle du même bug. J’en ai parlé plus en détail dans mon article sur les cybermenaces 2026 en chiffres.

Dans son Global Mobile Threat Report 2025, Zimperium a fait le compte : en 2024, Android a reçu 501 CVE, iOS – 317. Le nombre de zero-days est encore plus parlant, c’est-à-dire les failles exploitées dans des attaques avant l’arrivée d’un correctif : Android 41 / 97 / 12 en 2022 / 2023 / 2024, iOS respectivement 5 / 20 / 5.

Premier réflexe : « Android a plus de failles ». Deuxième réflexe, celui du pentesteur : le nombre de CVE en dit plus sur la façon de compter et sur le nombre de personnes qui cherchent que sur la sécurité réelle du système. Pourquoi ?

• Les CVE d’Android incluent des composants tiers : modems, puces Qualcomm, MediaTek. Dans ses bulletins, Google corrige les bugs des autres. Apple conçoit ses propres puces et compte différemment.
• Android est open source – n’importe qui peut lire le code et signaler un bug. Dans iOS, système fermé, chercher des failles est plus difficile, donc une partie d’entre elles ne reçoit tout simplement pas de numéro.
• Depuis 2025, Google a changé le rythme de ses bulletins (on y revient dans un instant), donc même la comparaison d’une année sur l’autre pour Android seul devient délicate. Pour donner l’échelle : au premier semestre 2025, l’Android Security Bulletin a corrigé environ 270 vulnérabilités, et le seul bulletin de décembre 2025 – 107. Apple a corrigé 27 CVE dans iOS 26.0 (selon SecurityWeek ; la liste d’Apple elle-même compte plus d’entrées, car une seule faille peut toucher plusieurs composants).

Bien plus intéressante que le chiffre brut : la qualité des bugs. Depuis des années, Google publie la part des bugs mémoire (la classe de failles dont naissent la plupart des exploits) dans les vulnérabilités d’Android : 76 % en 2019, 24 % en 2024 et moins de 20 % en 2025. Merci Rust – Android contient déjà environ 5 millions de lignes de code dans ce langage, et Google y constate environ 1 000 fois moins de bugs mémoire par million de lignes qu’en C/C++. Apple a répondu en septembre 2025 avec Memory Integrity Enforcement (MIE) dans l’iPhone 17 : un marquage matériel de la mémoire activé en permanence, qui selon Apple constitue « la plus importante mise à niveau de la sécurité mémoire de l’histoire des systèmes d’exploitation grand public ». Google avait le MTE matériel dans le Pixel 8 dès 2023, mais en option ; Apple l’a activé pour tout le monde, par défaut. ✔️

Leçon n° 2 : N’achète pas un téléphone en fonction du nombre de CVE. Regarde plutôt si le fabricant investit pour éliminer des classes entières de bugs – et là, les deux géants en ont fait plus ces deux dernières années qu’au cours de toute la décennie précédente.

Les zero-days dans de vraies attaques : 15 sur mobile en 2025

La mesure la plus dure, ce n’est pas « combien de failles ont été trouvées », mais « combien ont été utilisées contre des gens avant qu’un correctif existe ». Le Google Threat Intelligence Group les compte chaque année :

• 2025 : 90 zero-days exploités dans des attaques (2024 : 78, 2023 : 100). Dont 15 sur les plateformes mobiles (2024 : 9, 2023 : 17).
• Par entreprise (tous produits confondus, pas seulement les téléphones) : Microsoft 25, Google 11, Apple 8.
• Les chaînes de plusieurs zero-days visent presque exclusivement (environ 90 %) les téléphones. En 2025, les chaînes de trois bugs ou plus étaient plus fréquentes qu’un an plus tôt – parce qu’une seule faille ne suffit plus pour percer les protections.
• La seule répartition par plateforme fournie par Google : en 2024, 7 zero-days concernaient Android, dont 3 dans des composants tiers. Pour iOS, Google n’a pas publié de chiffre équivalent.
• Pour la première fois depuis le début de cette mesure, plus de zero-days ont été attribués aux éditeurs commerciaux de spywares qu’aux groupes d’espionnage étatiques.
• Un exemple tout frais sur iOS : le 28 septembre 2026, Apple a publié iOS 26.7.1 avec un correctif pour une faille dans CoreGraphics (CVE-2026-86950) qui, selon Apple, a pu être exploitée dans une « attaque extrêmement sophistiquée » contre des personnes précises, sur des versions antérieures à iOS 27. Par contraste : le bulletin Android d’octobre (25 CVE) ne signale aucune faille comme exploitée. Un seul mois ne prouve rien – mais il montre bien que « l’iPhone n’a pas de zero-days » est un mythe.

La recommandation du même rapport tient en une phrase, alors je la répète : active Advanced Protection sur Android (depuis Android 16) ou le Lockdown Mode (mode Isolement) sur iPhone. Ce sont des modes « pour les personnes à haut risque », mais pour un dirigeant, un avocat ou un journaliste, c’est aujourd’hui tout simplement un réglage raisonnable.

Leçon n° 3 : Dans le monde des zero-days, les deux systèmes sont des cibles, et les différences sont plus faibles que ce que suggère Internet. Ce qui compte, ce n’est pas tant les bugs que ce que coûte l’assemblage d’une attaque fonctionnelle – on y vient.

À quelle vitesse les vulnérabilités sont-elles corrigées ? Apple vs Google

La meilleure mesure indépendante, c’est Google Project Zero – une équipe qui signale des bugs à tous les fabricants (Google compris) et compte publiquement combien de jours il leur faut pour corriger. Le délai accordé est de 90 jours.

Pour 2019-2021 : iOS 70 jours en moyenne, Pixel 72, Samsung 72. Match nul, donc. Dans le tableau 2025 (état en mars 2026), Apple n’a pas un seul signalement, donc impossible de comparer ; le Pixel 10 a eu besoin de 73, 98 et 98 jours (deux fois hors délai), Samsung a corrigé ses codecs d’image en 49 jours en moyenne. Petite curiosité du même relevé : les navigateurs. Chrome a mis 30 jours entre le signalement et la livraison du correctif aux utilisateurs, WebKit (le moteur de Safari) – 73. Apple corrige vite, mais livre à son propre rythme.

Sauf que « correctif publié par le fabricant », ce n’est pas la même chose que « correctif installé sur ton téléphone ». Et c’est là que commence la vraie différence :

Android a changé de rythme. Pendant dix ans, Google a publié chaque mois un bulletin de correctifs. En juillet 2025 est paru le tout premier bulletin vide, et depuis septembre 2025, un système « basé sur le risque » est en place : chaque mois, uniquement les failles activement exploitées ou faisant partie de chaînes connues, le reste dans de grosses versions trimestrielles. Les partenaires reçoivent le code plusieurs mois à l’avance, et depuis 2026, le code source d’AOSP est publié deux fois par an. Pour un utilisateur de Samsung ou de Pixel, c’est neutre en pratique. Pour les créateurs de systèmes alternatifs (par exemple GrapheneOS), c’est un problème – les correctifs leur arrivent plus tard.

Apple a pris la direction opposée. En mars 2026, la marque a publié ses premières Background Security Improvements : de petits correctifs (ici : pour une faille dans WebKit, CVE-2026-20643) installés en arrière-plan, sans mise à jour complète du système et sans redémarrage. La fenêtre entre publication et déploiement se réduit au minimum.

Et voici le résultat final, c’est-à-dire combien de téléphones ont réellement le dernier système. Attention aux dates : ce sont les dernières mesures publiées par les fabricants. Depuis, iOS 27 (septembre 2026) et Android 17 sont sortis, mais ni Apple ni Google n’ont publié de nouveaux chiffres.

• iOS 26 : 79 % de tous les iPhone et 86 % des modèles des 4 dernières années (Apple, juin 2026, 9 mois après la sortie).
• Android 16 : 7,5 % des appareils dans l’échantillon de Google de décembre 2025 (6 mois après la sortie) ; dans le trafic web mesuré par StatCounter en septembre 2026 – 38 %. Méthodes différentes, mais aucune ne s’approche d’Apple.
• Zimperium : sur une année, 61 % des appareils Android et 49 % des appareils iOS ont tourné à un moment donné sur une version obsolète du système, et environ 25 % des appareils en entreprise ne peuvent pas du tout être mis à jour vers la dernière version.

Leçon n° 4 : À la source, Apple et Google corrigent à un rythme similaire. La différence se joue sur le chemin jusqu’à ta poche : un correctif Apple arrive sur 4 iPhone sur 5, un correctif Google doit passer par le fabricant, l’opérateur et la version de la surcouche. C’est pourquoi, si ton entreprise utilise des Android, la règle « on met à jour sous 14 jours » doit être imposée par un MDM (un logiciel de gestion des téléphones professionnels), et non laissée à la bonne volonté des utilisateurs.

Combien coûte une intrusion – les tarifs du marché noir et Pwn2Own

L’indicateur de sécurité le plus honnête, c’est le prix. Pas mon avis, pas le marketing – juste ce que quelqu’un est prêt à payer pour une attaque qui fonctionne. Les courtiers en exploits (des sociétés qui rachètent des zero-days pour le compte de gouvernements) publient leurs tarifs :

• Zerodium, 2019 : zero-click Android 2,5 M$, iOS 2 M$. Pour la première fois de l’histoire, Android coûtait plus cher. L’explication du patron de la société : un marché inondé d’exploits iOS, surtout pour Safari et iMessage, alors que Google avait « tranquillement » durci Android au point qu’une chaîne zero-click complète était devenue plus difficile à construire.
• Operation Zero (Russie), tarifs actuels : Android 2,5 M$, iOS 2 M$. En septembre 2023, la société annonçait ponctuellement jusqu’à 20 M$ pour des chaînes complètes sur les deux systèmes. En 2025, un Américain, ancien chef de département chez L3Harris Trenchant, a reconnu leur avoir vendu des exploits – il a écopé d’environ 7 ans.
• Crowdfense (EAU), 2024 : zero-click iOS 5-7 M$, Android jusqu’à 5 M$, Chrome jusqu’à 3 M$, Safari jusqu’à 3,5 M$. Les tarifs n’ont pas bougé depuis. Commentaire de la société : « les protections déployées par les fabricants fonctionnent » – un exploit qu’une seule personne écrivait autrefois demande aujourd’hui une équipe.

Donc en 2019, Android était plus cher, en 2024 c’est iOS. La conclusion ? Les deux systèmes sont aujourd’hui des cibles si difficiles qu’une chaîne fonctionnelle coûte le prix de dix maisons à Varsovie. Personne ne dépensera une telle somme pour te voler tes photos de vacances – c’est de l’argent destiné à des objectifs politiques et de renseignement.

La deuxième mesure impartiale, c’est Pwn2Own – un concours où les meilleures équipes du monde cassent des appareils en direct, avec l’argent de l’organisateur (Zero Day Initiative) :

• Irlande 2024 : Galaxy S24 cassé (chaîne de 5 bugs, prime de 50 000 $). Pour le Pixel 8 et l’iPhone 15, 250 000 $ chacun étaient en jeu. Personne n’a même tenté sa chance.
• Irlande 2025 : Galaxy S25 cassé deux fois (50 000 $ chaque fois). Pour le Pixel 9 et l’iPhone 16, 300 000 $ chacun étaient proposés – zéro inscription.
• Irlande 2026 : là, c’est le tournant. Le Pixel 10 est tombé trois fois le dernier jour, et pour l’une de ces chaînes, Ikotas Labs a empoché 300 000 $ – la plus grosse prime de tout le concours. Le Galaxy S26 a été cassé 7 fois, majoritairement avec des « collisions » (des bugs que le fabricant connaissait déjà, donc des primes plus faibles). Pour l’iPhone 17 (300 000 $ aussi), personne ne s’est inscrit pour la troisième année consécutive. Le concours au total : 98 zero-days et 1,26 M$ versés.

Pourquoi personne ne s’attaque à l’iPhone depuis trois ans pour 300 000 dollars ? Parce qu’une chaîne fonctionnelle vaut chez les courtiers environ 20 fois plus – la présenter à un concours, c’est une mauvaise affaire. Le Pixel de cette année n’en est que plus intéressant : trois équipes ont jugé que ça valait le coup de le montrer. Ce qui a lâché exactement, on ne le sait pas encore – ZDI ne publie les détails des bugs qu’après 90 jours, une fois qu’ils sont corrigés par le fabricant. Samsung, avec sa propre surcouche et ses propres applis, a tout simplement plus de code où chercher – et c’est pour ça qu’il tombe chaque année. 😈

Leçon n° 5 : L’iPhone et le Pixel restent des « hard targets » – des cibles que, dans une vraie attaque, seuls les États ont les moyens de viser. Mais le Pixel de cette année rappelle qu’une cible difficile n’est pas une cible intouchable : la difficulté d’une attaque n’est pas une constante, c’est une course que le fabricant doit regagner chaque année. Les autres Android se classent plus bas, en fonction de la quantité de code maison du fabricant et de sa vitesse de correction. Si tu choisis une flotte pour des personnes exposées (direction, finance, avocats) – ce critère devrait peser plus lourd que le prix de l’abonnement.

Quelle taille pour les équipes sécurité ? Bug bounty et filtrage des stores

Je voulais mettre ici deux chiffres : combien d’ingénieurs sécurité compte Apple, et combien Google. Impossible – aucune des deux entreprises ne publie la taille de ses équipes (Apple SEAR, Android Security, Project Zero). Tout chiffre que tu trouveras sur Internet relève de la devinette. Mais il existe de bons indicateurs de substitution : combien les deux entreprises paient des inconnus pour trouver des failles, et combien de déchets elles arrêtent à l’entrée du store.

Bug bounty : combien elles paient pour les failles

• Apple : depuis novembre 2025, la prime maximale est de 2 M$ pour une chaîne zero-click (contre 1 M$ auparavant), et avec les bonus (contournement du Lockdown Mode, bugs dans les versions bêta) « plus de 5 M$ ». Depuis le lancement du programme en 2020, Apple a versé plus de 35 M$ à plus de 800 chercheurs. Dans le programme Security Research Device (des iPhone spéciaux pour chercheurs), la prime médiane en 2024 était d’environ 18 000 $, et à plusieurs reprises, 500 000 $ ont été versés d’un coup. En 2026, Apple distribue aussi 1 000 iPhone 17 à des organisations de la société civile exposées aux spywares.
• Google : en 2025, l’ensemble des programmes VRP a versé 17,1 M$ à 747 chercheurs (plus de 81 M$ depuis 2010). Dont Android et les appareils Google – 2,9 M$ (3,3 M$ l’année précédente ; Chrome a reçu 3,7 M$). Depuis mai 2026, une chaîne zero-click complète sur Pixel avec compromission de la puce Titan M2 et persistance vaut 1 à 1,5 M$. Google l’explique sans détour : l’IA a inondé le programme de longs rapports, donc les primes vont là où les bugs sont les plus difficiles à trouver pour une IA.
• Samsung : jusqu’à 1 M$ pour une exécution de code à distance dans Knox Vault ; plus de 4 M$ versés depuis 2017.
• En plus, Google finance Project Zero – une équipe qui cherche aussi des failles chez Apple et Samsung et qui tient publiquement tout le monde au délai de 90 jours. Apple n’a pas d’équivalent public.

Le filtrage des stores : combien de déchets n’atteignent pas le téléphone

• App Store, 2025 : 9,1 millions de soumissions d’applications examinées, plus de 2 millions rejetées, 193 000 comptes développeurs fermés, 2,2 milliards de dollars de transactions frauduleuses bloquées, 28 000 applications bloquées sur des stores pirates.
• Google Play, 2025 : 1,75 million d’applications enfreignant les règles stoppées avant publication, 80 000 comptes bannis, Play Protect qui analyse 350 milliards d’applications par jour et 27 millions de nouvelles applications malveillantes détectées en dehors du store.

Ces chiffres ne mesurent pas la même chose (Apple compte des dollars, Google des applications), mais ils montrent l’échelle : les deux géants font tourner des usines de filtrage à un niveau dont aucune banque ou aucun e-commerce polonais n’ose même rêver. 😈

Leçon n° 6 : La taille des équipes n’est pas publique, mais l’argent, si. Apple paie plus cher un exploit isolé, Google paie plus au total et plus largement. Les deux disent la même chose : la sécurité d’un téléphone, c’est aujourd’hui un budget de plusieurs centaines de millions de dollars par an. Ton application mobile, développée par un sous-traitant en six mois, n’a pas cette envergure – et c’est pour ça que c’est dans l’appli, et non dans le système, que je trouve le plus souvent des failles lors de mes missions.

Malwares et phishing : là où l’argent disparaît vraiment

Les zero-days et les exploits à plusieurs millions, c’est le monde du renseignement. L’argent des particuliers et des entreprises disparaît ailleurs – via des applications malveillantes et le phishing. Et là, le tableau est sans ambiguïté, mais inversé dans chaque catégorie.

Malwares : Android

• Kaspersky, 2025 : 14 millions d’attaques de malwares, d’adwares et de logiciels indésirables bloquées sur des téléphones (environ 1,2 million par mois), 815 000 nouveaux paquets d’installation malveillants et 255 000 nouveaux chevaux de Troie bancaires – une hausse de plusieurs fois d’une année sur l’autre. Presque entièrement sur Android.
• Lookout, T3 2025 : les détections de malwares sur les appareils professionnels concernent « dans leur écrasante majorité » Android ; en un trimestre, 71 000 applications malveillantes sur des téléphones d’entreprise.
• ESET, 2nd semestre 2025 : les attaques via NFC (le téléphone de la victime « transmet » sa carte bancaire à un fraudeur posté devant un distributeur) ont bondi de 87 %.
• Pologne : en 2025-2026, CERT Polska a décrit de nouvelles campagnes visant les clients de banques polonaises : NGate (se fait passer pour SGB, Santander, PKO, ING, vole via NFC), FvncBot (SGB, Alior, Paribas ; se présente comme un « composant Play »), Cifrat (infrastructure imitant Booking). Point commun : ce sont tous des fichiers APK installés manuellement sur Android, après que la victime a validé l’écran « autoriser l’installation depuis des sources inconnues ».
• Google estime que les applications installées hors du store contiennent plus de 50 fois plus de malwares que celles de Play. C’est pourquoi, depuis le 30 septembre 2026 (Brésil, Indonésie, Singapour, Thaïlande) et à partir de 2027 dans le monde entier, Android exige que chaque développeur soit vérifié – même en dehors du store. Zimperium : en entreprise, un téléphone Android sur quatre a une application installée hors du store.

Pour être juste : iOS n’est pas immaculé. En février 2025, Kaspersky a décrit SparkCat – le premier malware connu dans l’App Store, qui lit les captures d’écran à la recherche de phrases de récupération de portefeuilles crypto. Et dans l’Union européenne, depuis 2024, l’iPhone accepte aussi des stores alternatifs (six en activité selon TechCrunch), même si chaque application passe toujours par la « notarisation » automatique et humaine d’Apple. Pour l’instant, je n’ai vu aucun incident retentissant lié à ces stores.

Phishing : iPhone

• Lookout, T3 2025 : une tentative de phishing a été enregistrée sur 16 % des appareils iOS et 7,8 % des appareils Android. Sur l’ensemble de 2024 : 26 % contre 12 %. Lookout précise honnêtement : en entreprise, les iPhone vont aux dirigeants et à la finance, ce sont donc tout simplement des cibles plus précieuses.
• Zimperium, 2026 : le phishing sur les téléphones professionnels a augmenté de 380 % depuis janvier 2025, et des spywares ont été détectés sur près de 1 appareil sur 10 (4 fois plus d’une année sur l’autre).
• Google met en avant une étude (YouGov, 5 000 personnes aux États-Unis, en Inde et au Brésil) selon laquelle les utilisateurs d’Android avaient 58 % de chances de plus que ceux d’iPhone de ne recevoir aucun SMS frauduleux dans la semaine. L’étude a été commandée par Google, donc je la prends comme de la pub – mais le filtrage des SMS et des appels par IA est effectivement plus poussé aujourd’hui côté Android. ⚠️

Leçon n° 7 : Android perd sur les malwares, l’iPhone sur le phishing. Le premier problème se règle par une politique (« zéro application hors du store » imposée par MDM), le second ne se règle pas avec un téléphone – parce que le phishing attaque l’humain, pas le système. Sur l’iPhone de ton DAF, un lien vers une « facture » a l’air tout aussi convaincant que partout ailleurs.

Pegasus, Graphite et compagnie : qui est visé

Les spywares commerciaux, c’est une ligue à part : Pegasus (NSO), Predator (Intellexa), Graphite (Paragon). Un fait à retenir : chacun d’eux existe en version pour les deux systèmes. En 2025, Citizen Lab a confirmé la présence de Graphite sur les iPhone de deux journalistes (zero-click via iMessage, CVE-2025-43200, iOS 18.2.1) et, en parallèle, sur les Android de deux militants italiens (zero-click via WhatsApp). Le même client, les deux plateformes.

• Apple envoie des notifications d’attaques par spyware dans plus de 150 pays ; la seule vague d’août 2026 a touché des utilisateurs dans 110 pays. Apple ne divulgue pas le nombre de destinataires.
• Lockdown Mode : en mars 2026, Apple a déclaré n’avoir connaissance d’aucune attaque réussie d’un spyware commercial contre un iPhone avec le Lockdown Mode activé. Cela n’a pas été vérifié de manière indépendante, mais les chercheurs de Google ont vu des spywares qui se désactivent tout simplement lorsqu’ils détectent le Lockdown Mode.
• Android : le mode équivalent, Advanced Protection, est apparu avec Android 16 (2025). Un exemple dans l’autre sens : le spyware LANDFALL a exploité une faille dans le traitement d’images de Samsung (CVE-2025-21042) pendant environ 9 mois avant l’arrivée du correctif.
• Outils d’investigation : selon des fuites de Cellebrite de 2024, les iPhone sous iOS 17.4+ étaient « en cours d’analyse » (impossibles à déverrouiller), et selon une fuite d’octobre 2025, un Pixel 9 sous GrapheneOS ne peut pas être lu du tout – un Pixel standard, si. Autrement dit, ce qu’on peut extraire d’un téléphone saisi dépend davantage de la version du système et de la configuration que du logo.

Leçon n° 8 : Si quelqu’un dépense des millions pour pirater précisément ton téléphone, le système d’exploitation ne te sauvera pas. Ce qui te sauvera, c’est la configuration – Lockdown Mode / Advanced Protection, des mises à jour le jour même de leur sortie, un redémarrage quotidien (la plupart des spywares mobiles ne survivent pas à un redémarrage) et la conscience que « ne pas cliquer sur les liens » ne suffit plus, parce qu’un zero-click ne demande aucun clic.

Murs et portes dérobées : comment fonctionnent les protections et comment les attaques les contournent

Sur le papier, les deux systèmes se défendent de façon similaire. Chaque application vit dans sa propre « pièce » (sandbox) et ne voit pas ce que font les autres. Le code doit être signé. Au démarrage, le téléphone vérifie que personne n’a remplacé le système. La mémoire est protégée par des mécanismes matériels intégrés au processeur. La bonne nouvelle : ces murs, quasiment personne ne les perce de front. La mauvaise : personne n’en a besoin. Les attaquants cherchent des portes dérobées – et chaque système a les siennes.

iPhone : des portes techniques à plusieurs millions

• BlastDoor contre le « GIF » qui était un PDF. Avec iOS 14, Apple a enfermé le traitement des messages iMessage dans une sandbox spéciale, BlastDoor. En 2021, NSO (les créateurs de Pegasus) a envoyé à ses victimes un fichier avec l’extension .gif qui, à l’intérieur, était un PDF. iMessage transmettait les GIF à un processus tournant en dehors de BlastDoor, et la bibliothèque graphique reconnaissait le vrai format et lançait un décodeur contenant une faille (CVE-2021-30860). Dans ce décodeur, l’exploit a construit, à partir de plus de 70 000 opérations élémentaires, son propre ordinateur virtuel. Google Project Zero l’a qualifié de l’un des exploits les plus sophistiqués techniquement qu’il ait jamais vus. Et l’évasion de la sandbox qui suivait reposait uniquement sur des erreurs de logique, si bien que les protections matérielles de la mémoire, comme l’a reconnu Project Zero, n’avaient aucun effet dessus. Le mur était solide. Simplement, tout ne passait pas par lui. Apple a corrigé le problème dans iOS 14.8, et depuis iOS 15, les GIF sont traités à l’intérieur de BlastDoor.
• Operation Triangulation, ou le matériel non documenté. En 2023, Kaspersky a découvert que les iPhone de ses propres employés avaient été infectés via un message iMessage invisible. La chaîne comptait 4 zero-days, contournait la signature des pointeurs (PAC – un mécanisme censé empêcher la prise de contrôle d’un programme) et – c’est le plus fascinant – la protection matérielle de la mémoire du noyau. Pour cela, les attaquants ont utilisé des registres du processeur qui ne figurent dans aucune documentation et que même les logiciels d’Apple n’utilisent pas (CVE-2023-38606). Kaspersky l’a qualifiée d’attaque la plus sophistiquée que ses experts aient jamais vue.
• Quand le mur a tenu : BLASTPASS. En septembre 2023, Citizen Lab a intercepté un nouveau zero-click de NSO, cette fois via des pièces jointes Apple Wallet dans iMessage. Et là, bonne nouvelle : Citizen Lab et Apple ont confirmé d’une même voix que le Lockdown Mode bloquait cette attaque. Ce mode désactive notamment la plupart des pièces jointes dans Messages, la compilation JIT dans le navigateur (porte d’entrée favorite des exploits), les appels d’inconnus, le transfert de données par câble quand l’écran est verrouillé, ainsi que l’installation de profils de configuration et de MDM.
• Une porte sans exploit : le profil MDM. Si tu n’as pas les moyens de t’offrir un zero-day, tu peux tout simplement demander. GoldPickaxe (Group-IB, février 2024) a d’abord été diffusé via TestFlight (la plateforme officielle d’Apple pour tester des applications), puis, quand Apple l’a supprimé, les fraudeurs ont poussé des victimes au Vietnam et en Thaïlande à installer un profil MDM – autrement dit, à confier la gestion de leur téléphone à une « entreprise » inconnue. Le malware demandait aussi un enregistrement vidéo du visage, utilisé pour créer des deepfakes destinés à tromper la vérification biométrique des banques. Remarque : le Lockdown Mode bloque justement l’installation de profils MDM.

Android : l’accessibilité, une porte à trois sous

Android a les mêmes murs : sandbox, SELinux, démarrage vérifié, Play Protect avec une IA qui analyse le comportement des applications sur l’appareil (depuis 2024). Mais il a aussi quelque chose que l’iPhone n’accorde pas aux applications tierces : les services d’accessibilité (Accessibility Services).

Cette API a été créée pour une noble cause – pour les personnes aveugles, malvoyantes et à mobilité réduite. Pour qu’un lecteur d’écran puisse lire à une personne aveugle ce qui s’affiche, et qu’un contrôle par contacteur puisse cliquer à la place d’une personne paralysée, l’application doit tout voir à l’écran et pouvoir cliquer à la place de l’utilisateur. Dans n’importe quelle application. Y compris l’appli bancaire.

Pour un cheval de Troie bancaire, ce sont les clés du royaume. Un seul « Autoriser », et l’application peut :

• lire tout ce qu’affiche le téléphone – identifiants, soldes, codes SMS – et enregistrer chaque frappe au clavier,
• cliquer elle-même sur « Autoriser » dans les fenêtres suivantes et s’octroyer d’autres permissions,
• recouvrir la vraie application d’un faux écran de connexion ou d’un écran noir sous lequel quelque chose se passe,
• et pour finir, effectuer elle-même un virement dans ta vraie appli bancaire, sur ton téléphone. Pour la banque, ça ressemble à une opération normale depuis l’appareil de confiance du client. 😈

Ce n’est pas de la théorie. Quelques exemples de ces dernières années :

• Anatsa : environ 150 000 à 200 000 infections via de faux lecteurs PDF et des « nettoyeurs » sur le Google Play officiel (ThreatFabric, février 2024). Ils demandaient l’accès à l’accessibilité sous prétexte de « mettre en veille les applis qui vident la batterie ». En 2025, un autre dropper se faisant passer pour un lecteur PDF a dépassé les 50 000 téléchargements aux États-Unis.
• Crocodilus (ThreatFabric, mars 2025) : il prend le contrôle du téléphone et, pour que la victime ne voie pas l’appareil se piloter tout seul, affiche un écran noir et coupe le son.
• Herodotus (ThreatFabric, octobre 2025) : il tape le texte lettre par lettre avec des pauses aléatoires de 0,3 à 3 secondes, pour que les systèmes antifraude des banques croient qu’un humain est en train d’écrire. La Pologne figure notamment sur la liste de ses faux écrans.
• FvncBot – chez nous, en Pologne : il se faisait passer pour la « clé de sécurité mBank » (Intel 471, décembre 2025). CERT Polska (mars 2026) a décrit comment, après installation, il enregistre un service d’accessibilité au nom anodin de « System Update », avec le droit de lire le contenu des fenêtres et d’exécuter des gestes. Ensuite : enregistrement des frappes, faux écrans, diffusion de l’écran et contrôle à distance du téléphone. Pour être précis : tous les chevaux de Troie polonais ne fonctionnent pas pareil – NGate, décrit plus haut, vole via NFC et n’a pas besoin de l’accessibilité.

Google le sait et joue au chat et à la souris avec les criminels depuis des années :

• Android 13 (2022) : une application installée depuis un fichier APK téléchargé ne peut pas demander l’accès à l’accessibilité – l’option est grisée.
• La riposte des criminels (2023) : ThreatFabric a décrit SecuriDropper – une application intermédiaire qui installe le vrai malware avec la même méthode qu’un store d’applications. Le système ne fait pas la différence, donc le blocage ne fonctionne pas. FvncBot faisait exactement la même chose en 2025.
• Android 15 et 16 : les restrictions se sont étendues à d’autres permissions sensibles, et depuis décembre 2025, Google Play rejette les applications qui se font passer pour des outils destinés aux personnes en situation de handicap sans en être. Play Protect les bloque aussi sur les téléphones.
• Android 17 : l’activation du mode Advanced Protection retire automatiquement l’accès à l’accessibilité à toutes les applications qui ne sont pas de véritables outils d’accessibilité (lecteurs d’écran, contrôle par contacteur, commande vocale, braille). Le hic : seulement si tu actives ce mode. Les gestionnaires de mots de passe et les applis d’automatisation, par exemple, le perdent aussi.

L’iPhone n’a pas ce problème pour une raison simple : les applications tierces n’obtiennent pas d’API leur permettant de lire d’autres applications et de cliquer à la place de l’utilisateur. VoiceOver fait partie du système. C’est l’une des principales raisons pour lesquelles les chevaux de Troie bancaires mobiles sont presque exclusivement sur Android.

Un test pratique de 30 secondes : va dans Paramètres → Accessibilité et vérifie la liste des applications téléchargées/installées ayant l’accès activé. Si tu y vois quoi que ce soit d’autre qu’un outil que tu utilises en connaissance de cause (lecteur d’écran, commande vocale), et surtout une « mise à jour système », un « lecteur PDF » ou une « clé de sécurité bancaire » – coupe Internet sur le téléphone et appelle ta banque. Une appli bancaire n’a pas besoin de cette permission. ⚠️

Leçon n° 9 : Les murs sont aujourd’hui hauts dans les deux systèmes. Dans un iPhone, on entre par des portes techniques valant des millions – via des formats de fichiers exotiques et des registres de processeur non documentés. Dans un Android, le criminel entre plus souvent par une porte humaine qui ne coûte presque rien : un seul clic sur « Autoriser » dans l’accessibilité lui donne plus qu’un exploit à un million de dollars. C’est pourquoi, sur Android, la sensibilisation et le blocage des installations hors store comptent plus que le modèle du téléphone.

Verdict : le tableau des scores

C’est mon évaluation subjective – mais chaque ligne s’appuie sur les chiffres ci-dessus. « Android » désigne ici un Pixel ou un Samsung avec un support complet ; un sans-marque de supermarché perd dans toutes les catégories face aux deux.

Si je dois tout résumer en une phrase : l’iPhone est plus sûr « sorti de la boîte » pour quelqu’un qui ne configure rien ; un Pixel ou un Samsung bien géré via MDM est au moins aussi sûr pour une entreprise qui configure. Et le pire choix, c’est un Android sans support de mises à jour – quel que soit son prix.

7 choses à faire quel que soit le système

1. Mises à jour automatiques activées et vérifiées. C’est le seul paramètre de cet article qui sépare les plateformes d’un facteur dix. Sur Android en entreprise : imposées par MDM, avec une échéance.
2. Zéro application hors du store. 50 fois plus de malwares. Si tu n’as pas de MDM, désactive les « sources inconnues » et active Auto Blocker (Samsung) ou Play Protect. De temps en temps, vérifie quelles applications ont accès à l’accessibilité. Sur iPhone – n’installe ni profils de configuration ni MDM depuis des liens.
3. Lockdown Mode / Advanced Protection pour la direction, la finance, les avocats, les RH. Oui, certaines choses cesseront de fonctionner. C’est le prix à payer.
4. Un redémarrage par jour. Ça a l’air bête, mais ça fonctionne contre la plupart des spywares mobiles, qui n’ont pas de persistance.
5. Achète en fonction de la durée du support, pas de l’appareil photo. 7 ans (Pixel, Galaxy S) ou un iPhone. Un téléphone sans mises à jour, c’est au bout de 2 ans un téléphone pour lequel les exploits sont publics et gratuits.
6. Des procédures résistantes au phishing. L’iPhone du PDG recevra le lien tout comme l’Android du magasinier. Changement de RIB d’un fournisseur, virement inhabituel, demande « urgente » du patron – toujours un deuxième canal et une deuxième personne.
7. Teste ta propre application mobile. Si ton entreprise publie une appli iOS ou Android, c’est elle – et non le système – le maillon faible. Apple et Google dépensent des centaines de millions par an pour leur partie ; la tienne demande quelques jours de tests. Si tu veux savoir combien exactement, fais le calcul avec le calculateur, et si tu préfères en discuter – écris-moi.

FAQ

L’iPhone est-il plus sûr qu’Android ?

« Sorti de la boîte », oui : les correctifs arrivent plus vite sur les appareils (79 % des iPhone sous iOS 26 contre 7,5 à 38 % des appareils Android sous Android 16), il n’y a pas de malwares de masse et un seul store fermé. Mais un Pixel ou un Samsung bien géré, avec 7 ans de support et un MDM, est tout aussi sûr pour une entreprise, tandis que les Android moins chers sans support perdent face aux deux.

Combien de vulnérabilités (CVE) pour Android et pour iOS ?

Selon Zimperium, en 2024, Android comptait 501 CVE et iOS 317. Ces chiffres ne sont pas entièrement comparables : Android inclut les composants de Qualcomm, MediaTek et d’autres entreprises, et en tant que système open source, il est examiné par davantage de chercheurs.

Combien coûte un exploit pour iPhone et pour Android ?

Crowdfense (tarifs 2024, toujours en vigueur) paie jusqu’à 5-7 M$ pour une chaîne zero-click sur iOS et jusqu’à 5 M$ sur Android. Le russe Operation Zero paie 2 M$ pour iOS et 2,5 M$ pour Android. En 2019, Zerodium valorisait Android plus cher (2,5 contre 2 M$).

À quelle vitesse Apple et Google corrigent-ils les vulnérabilités ?

Selon Google Project Zero (2019-2021), iOS mettait en moyenne 70 jours entre le signalement et le correctif, Pixel et Samsung 72 jours chacun. La différence tient à l’arrivée du correctif chez les utilisateurs : Apple met à jour presque toute sa base en quelques mois, alors que les mises à jour Android dépendent du fabricant du téléphone.

Peut-on pirater un iPhone sans aucun clic ?

Oui. Les attaques zero-click (par exemple Graphite de la société Paragon via iMessage en 2025, CVE-2025-43200) existent sur les deux systèmes. Pour s’en protéger : le Lockdown Mode (iOS) et Advanced Protection (Android 16), ainsi que des mises à jour immédiates. Apple affirme n’avoir connaissance d’aucune attaque réussie par spyware contre un téléphone en Lockdown Mode.

Pourquoi l’accessibilité d’Android est-elle dangereuse ?

Les services d’accessibilité (Accessibility Services) ont été créés pour les personnes en situation de handicap : ils permettent donc à une application de lire tout ce qui s’affiche à l’écran et de cliquer à la place de l’utilisateur. Des chevaux de Troie bancaires comme Anatsa, Herodotus ou FvncBot, qui vise les Polonais, poussent la victime à activer cet accès, puis volent les mots de passe et effectuent eux-mêmes des virements dans la vraie appli bancaire. Android 13 et les versions suivantes compliquent la tâche aux applications installées hors du store, et Android 17 avec le mode Advanced Protection retire cet accès aux applications qui ne sont pas des outils d’accessibilité. iOS ne fournit pas une telle API aux applications tierces.

Quel téléphone choisir pour une entreprise ?

Un iPhone ou un Android avec 7 ans de support garanti (Pixel 8+, Galaxy S24+), toujours sous MDM, avec mises à jour imposées et interdiction d’installer des applications hors du store. Pour la direction et la finance – le Lockdown Mode / Advanced Protection.

En résumé

Pendant des années, ce débat ressemblait à une rivalité de supporters. Les chiffres montrent quelque chose de plus banal et de plus intéressant à la fois : à la source, Apple et Google jouent aujourd’hui dans la même ligue – ils corrigent à un rythme similaire, paient des millions pour des failles, et leurs flagships sont devenus des cibles que seuls des États peuvent se payer. Les différences se situent plus loin : dans le nombre de téléphones qui reçoivent réellement le correctif, dans l’endroit d’où l’utilisateur installe ses applis et dans les mains de qui se trouve le téléphone. L’iPhone gagne chez ceux qui ne configurent rien. Android gagne dans les entreprises qui configurent – à condition d’avoir acheté un téléphone avec du support. Et celui qui perd à tous les coups, c’est celui qui ne fait pas ses mises à jour. 🔓

Si tu veux voir à quoi ressemble ton application mobile ou ta flotte de téléphones du point de vue d’un attaquant – tu sais où me trouver.

Sources des données utilisées dans l’article

• StatCounter – parts de marché des systèmes mobiles dans le monde et en Pologne (09.2026)
• Google – politique de mises à jour des Pixel (support.google.com) ; Samsung / 9to5Google – 7 ans de support pour le Galaxy S25 (01.2025) ; Apple – iOS 26 security content (09.2025)
• Zimperium – Global Mobile Threat Report 2025 (04.2025) et communiqué sur le rapport 2026 (07.2026)
• Google Security Blog – « Eliminating memory safety vulnerabilities at the source » (09.2024) ; Google – « Rust in Android: move fast and fix things » (11.2025)
• Apple Security Research – « Memory Integrity Enforcement » (09.2025) ; « A major evolution of Apple Security Bounty » (10.2025)
• Google Threat Intelligence Group – « 2024 Zero-Day Trends » (04.2025) et « 2025 Zero-Day Review » (03.2026) ; SecurityWeek – synthèse (03.2026)
• Google Project Zero – « A walk through Project Zero metrics » (02.2022) ; Reporting Transparency 2025 (état au 17.03.2026)
• Android Security Bulletin – juillet 2025 et décembre 2025 ; Android Authority – système de mises à jour basé sur le risque (09.2025) ; SecurityWeek (07.2025) ; BleepingComputer (12.2025)
• Help Net Security – premières Background Security Improvements d’Apple (03.2026) ; Apple / 9to5Mac – iOS 26.7.1, CVE-2026-86950 (28.09.2026) ; Android Security Bulletin – octobre 2026 ; MacRumors – sortie d’iOS 27 (09.2026)
• Apple / MacRumors – adoption d’iOS 26 (06.2026) ; Google / 9to5Google – distribution des versions d’Android (01.2026) ; StatCounter – versions d’Android (09.2026)
• Crowdfense – Exploit Acquisition Program ; TechCrunch (04.2024) ; Operation Zero – tarifs (opzero.ru) ; TechCrunch (09.2023) ; Threatpost – Zerodium (09.2019) ; CyberScoop / The Hacker News – affaire Peter Williams (2025-2026)
• Zero Day Initiative – résultats de Pwn2Own Ireland 2024, 2025 et 2026 ; BleepingComputer (09.10.2026) ; Privacy Guides (13.10.2026) ; SecurityWeek (10.2024)
• Google – VRP 2024 (03.2025) et VRP 2025 (03.2026) ; SecurityWeek – répartition par programme (03.2026) et changements de l’Android VRP (05.2026) ; Samsung Newsroom (11.2024)
• Apple Newsroom – App Store fraud prevention 2025 (05.2026) ; Google – « How we kept Google Play safe in 2025 » (02.2026)
• Kaspersky Securelist – « Mobile malware evolution in 2025 » (03.2026) et 2024 (03.2025) ; Lookout – Q3 2025 Mobile Threat Landscape ; Lookout / Business Wire (04.2025, 01.2026) ; ESET Threat Report H2 2025 (12.2025)
• CERT Polska – analyses de NGate (11.2025), FvncBot (03.2026), Cifrat (04.2026)
• Android Developers Blog – vérification des développeurs (08.2025, 06.2026) ; TechCrunch – stores alternatifs dans l’UE (03.2025) ; Apple – distribution d’applications dans l’UE
• Google – « How Android provides the most effective protection… » (10.2025, étude commandée par Google)
• Citizen Lab – Report 186, Paragon Graphite (06.2025) ; Apple Support – notifications de menaces ; The Hacker News (08.2026) ; TechCrunch – Lockdown Mode (03.2026) ; The Record / Unit 42 – LANDFALL (11.2025)
• 404 Media / TechSpot – fuites Cellebrite (07.2024, 10.2025) ; Android Authority (10.2025)
• Google Project Zero – « A deep dive into an NSO zero-click iMessage exploit » (12.2021) et « FORCEDENTRY: Sandbox Escape » (03.2022) ; SecurityWeek (12.2021)
• Kaspersky – Operation Triangulation (06.2023) ; Securelist – « The last (hardware) mystery » (12.2023)
• Citizen Lab – BLASTPASS (09.2023) ; Apple – Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric – SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025) ; BleepingComputer – Anatsa (02.2024) ; The Hacker News – Hook v3 (08.2025)
• Google Security Blog – Android 15 et Play Protect live threat detection (05.2024) ; Android Developers Blog – protection de l’API d’accessibilité (12.2025) ; The Hacker News – Android 17 Advanced Protection et accessibilité (03.2026, 10.2026)
• Intel 471 – FvncBot (12.2025) ; CERT Polska – analyse de FvncBot (03.2026)