La cyberattaque Poisoned Source, qui vise des smartphones Android et des iPhone, a été décrite le 4 novembre 2026 par Sekoia, société française de cybersécurité. Selon son équipe Threat Detection & Research, la campagne repose sur des sites web piégés qui exploitent des failles déjà corrigées dans Chrome, iOS et dans un pilote graphique Qualcomm.

Sekoia affirme avoir découvert l'opération à la mi-octobre et l'attribue, avec un niveau de confiance « modéré à élevé », au groupe APT29, un groupe lié à la Russie. Cette annonce arrive alors que les kits d'exploitation comme DarkSword et Coruna circulent désormais entre plusieurs groupes. Sur les risques côté entreprises, voir notre dossier sur la protection des entreprises face aux cybermenaces.

Comment fonctionne la campagne Poisoned Source sur mobile ?

Sekoia décrit une attaque de type « point d'eau » (watering hole), qui consiste à piéger des sites que les victimes visitent déjà. La campagne utilise trois vecteurs d'infection : des sites légitimes compromis, des domaines frauduleux qui imitent des sites connus, et la compromission d'un service ukrainien d'analyse web.

Un script malveillant est injecté dans les pages visitées. Il analyse l'appareil, puis envoie l'exploit adapté à iOS ou à Android. Il suffit d'ouvrir la page : aucun clic supplémentaire n'est nécessaire.

Le traceur Plerdy SEO, utilisé par des sites majoritairement ukrainiens, a été compromis du 27 août au 3 septembre 2026. Sekoia cite parmi les sites touchés une entreprise de gaz ukrainienne, une association de l'industrie chimique américaine et un site lié à l'armée bulgare. Sekoia n'a pas communiqué de nombre d'appareils infectés ni de liste complète de victimes.

Quelles failles Android et iPhone sont utilisées par les attaquants ?

Sur Android, la chaîne d'attaque combine une faille de Chrome (CVE-2026-3910) et une faille du pilote graphique Qualcomm Adreno (CVE-2025-27038). Elle installe ensuite le logiciel AndroSnitch, qui copie les cookies, les identifiants enregistrés, l'historique de Chrome et les mots de passe Wi-Fi mémorisés par le téléphone.

Sur iPhone, Sekoia a recensé deux chaînes. La première vise iOS 16.7 pour voler des cookies. La seconde, fondée sur le kit DarkSword, vise iOS 18.5 et peut accéder aux messages, à WhatsApp, à Telegram, au trousseau iCloud et aux photos.

Sekoia n'a trouvé aucun zero-day dans ces chaînes. L'éditeur estime que l'usage de kits d'exploits déjà publiés réduit le coût de ces attaques.

Les appareils à jour sont-ils protégés contre cette cyberattaque ?

Les smartphones entièrement à jour ne sont pas exposés à la campagne Poisoned Source, d'après l'analyse de Sekoia : les failles exploitées sont déjà corrigées. Seuls les appareils dont les mises à jour n'ont pas été installées restent vulnérables.

Les charges utiles analysées ne s'installent pas durablement. Un redémarrage du téléphone arrête donc leur activité.

Voici les gestes à adopter pour limiter le risque :

  • Installer la dernière version d'iOS disponible pour son iPhone;
  • Mettre Chrome à jour, en version 146.0.7680.75 ou plus récente sur Android;
  • Vérifier la mise à jour de sécurité proposée par le fabricant de son téléphone Android, qui contient le correctif Adreno;
  • Redémarrer son téléphone.

Pour un autre exemple de faille mobile, lisez notre article sur la faille Android SMS of Death.

Qui est derrière Poisoned Source et quels sont les précédents ?

Sekoia attribue la campagne Poisoned Source à APT29. Le nom AndroSnitch vient d'un précédent : en août 2024, un collecteur appelé ANDROSNATCH avait été utilisé lors d'une opération présumée d'APT29 contre des sites du gouvernement mongol.

Autre précédent côté iPhone, l'opération Triangulation de 2023 visait des appareils iOS avec une chaîne de quatre failles zero-day. Poisoned Source s'en distingue puisqu'elle n'emploie que des failles déjà corrigées.

Cette campagne est distincte d'une autre, de nature criminelle, qui vise des iPhone via des sites infectés et dont l'existence a été rapportée en octobre 2026. Aucune source ne mentionne de cible en France ou en Afrique francophone dans Poisoned Source.