Le smartphone, angle mort de la sécurité : protéger une flotte mobile en 2026

À jour au 14 novembre 2026. Cet article s’appuie sur l’état de la menace publié par l’ANSSI en novembre 2025 et sur les correctifs de sécurité publiés par Google et Apple en novembre 2026.

Messagerie, agenda, applications métier, codes d’authentification, accès VPN : le smartphone concentre aujourd’hui une grande partie des accès d’un collaborateur. Il est pourtant souvent moins bien géré que l’ordinateur portable, et rarement visible depuis le SOC. Les attaquants l’ont bien compris.

Ce que l’ANSSI observe

En novembre 2025, l’ANSSI a publié un état de la menace consacré aux téléphones mobiles depuis 2015. Plusieurs constats concernent directement les entreprises :

au cours des trois dernières années, l’ANSSI a traité de multiples compromissions de téléphones par des logiciels espions visant des membres de hautes autorités gouvernementales ou de comités de direction d’entreprises de secteurs stratégiques. Dans la majorité des cas, ce sont les téléphones personnels des victimes qui étaient ciblés ;
les cybercriminels, eux, ciblent tout le monde, sans distinction de secteur : codes malveillants peu sophistiqués et ingénierie sociale leur suffisent pour voler des données personnelles ou professionnelles, réutilisées ensuite pour accéder à des systèmes d’information ;
les points d’entrée sont multiples : interfaces sans fil (Wi-Fi, Bluetooth, NFC, réseau mobile), système d’exploitation et applications ;
les attaques les plus sophistiquées exploitent des chaînes de vulnérabilités « zéro clic », sans aucune action de la victime, souvent à travers les messageries. Leurs implants restent généralement en mémoire et laissent peu de traces, ce qui complique fortement les investigations ;
les fonctionnalités d’accessibilité sont détournées pour lire l’écran et les saisies au clavier. Le code malveillant Crocodilus, mis en évidence en 2025, s’en sert par exemple pour voler des données bancaires et des cryptomonnaies.

L’actualité de novembre : des failles déjà corrigées

Le 4 novembre 2026, l’éditeur Sekoia a décrit une vaste campagne de type « point d’eau », qu’il attribue avec un niveau de confiance modéré à élevé au groupe APT29. Des sites légitimes compromis aux États-Unis, en Ukraine, en République tchèque et en Bulgarie, des domaines imitant des sites connus et un service d’analyse d’audience piégé pendant une semaine ont servi à identifier le téléphone de chaque visiteur, puis à lui envoyer la chaîne d’exploitation adaptée. Résultat : vol de cookies, des bases de données WhatsApp et Telegram, d’identifiants, de la localisation et des photos.

Le point essentiel est ailleurs : toutes les vulnérabilités exploitées étaient déjà corrigées. Les chaînes d’exploitation visaient des iPhone restés sous iOS 16.7 ou 18.5, et des versions de Chrome pour Android non mises à jour. Un téléphone à jour n’était pas exposé.

Les correctifs se succèdent d’ailleurs à un rythme soutenu :

le bulletin de sécurité Android de novembre 2026, publié le 2 novembre, corrige notamment une faille critique d’exécution de code à distance qui ne nécessite aucune interaction de l’utilisateur. Le niveau de correctif du 5 novembre 2026 corrige l’ensemble des problèmes ;
le 9 novembre 2026, Apple a publié iOS 27.2.1, ainsi que des correctifs pour les appareils restés sous iOS 26 et iOS 18.

Une flotte dont les mises à jour dépendent du bon vouloir de chacun reste exposée à des attaques connues, documentées et évitables.

Gérer la flotte : MDM, protection mobile et SOC

La gestion de flotte

L’ANSSI recommande aux entreprises de gérer leurs terminaux professionnels avec une solution de gestion de flotte (MDM), qui permet notamment de :

imposer les mises à jour du système et des applications ;
restreindre les applications installables aux magasins officiels et à une liste validée ;
définir une liste de réseaux Wi-Fi autorisés ;
en cas de perte ou de vol, effacer le téléphone à distance, et révoquer puis renouveler les secrets qui y étaient configurés (certificats VPN, comptes de messagerie), pour éviter qu’ils servent de point d’appui sur le réseau.

En pratique, on y ajoute un niveau minimal de système et de correctifs, en dessous duquel l’accès aux applications de l’entreprise est bloqué.

La détection des menaces mobiles

La gestion de flotte contrôle la configuration ; elle ne détecte pas une attaque en cours. Les solutions de protection contre les menaces mobiles (MTD) analysent sur l’appareil les applications malveillantes, les liens d’hameçonnage, les réseaux suspects et les signes de compromission du système. Les deux approches sont complémentaires.

Le smartphone dans le SOC

Un téléphone compromis doit déclencher la même réaction qu’un poste compromis. Les alertes de la gestion de flotte et de la protection mobile ont donc leur place dans le SIEM, corrélées avec les connexions et les identités. Un playbook dédié prévoit d’isoler l’appareil, de révoquer ses accès et ses jetons, puis de l’effacer (voir notre analyse Les journaux, fondation du SOC).

Cas particulier : si un collaborateur reçoit d’Apple ou de Google une notification indiquant qu’il pourrait être visé par un logiciel espion, l’ANSSI conseille de ne pas manipuler le téléphone et de contacter le CERT-FR.

Téléphone personnel ou professionnel ?

La position de l’ANSSI est claire : ne pas utiliser un téléphone personnel à des fins professionnelles, et prévoir un téléphone dédié pour les déplacements sensibles. Une compromission du téléphone personnel ne donne alors accès à aucune information de l’entreprise.

Si l’organisation autorise malgré tout l’usage d’appareils personnels (BYOD), la CNIL demande d’évaluer les risques au préalable et de limiter les données et applications accessibles selon leur criticité. Elle recommande une gestion de flotte y compris pour ces appareils, mais sans entraver leur usage privé ni accéder à l’espace personnel. Les conditions d’un effacement à distance doivent figurer dans la charte informatique. Android et iOS proposent des modes d’inscription qui séparent les applications et les données de l’entreprise de celles du collaborateur, comme le profil professionnel d’Android.

Durcir les terminaux les plus exposés

Pour les personnes susceptibles d’être ciblées (dirigeants, fonctions sensibles, déplacements à l’étranger), l’ANSSI recommande d’activer les modes de durcissement des systèmes :

le Mode Isolement sur iOS, disponible depuis iOS 16. L’ANSSI indique avoir constaté par ses propres moyens son efficacité pour bloquer des tentatives de compromission ;
le Mode Protection Avancée sur Android, disponible depuis Android 16.

Ces modes limitent certaines fonctions (pièces jointes, liens, technologies web, installation d’applications hors magasin) ; leur activation peut donc être réservée à certaines périodes, comme un déplacement.

L’ANSSI ajoute des mesures simples, valables pour tous :

désactiver le Wi-Fi et le Bluetooth quand ils ne servent pas, et la connexion automatique aux réseaux connus ;
éviter les Wi-Fi publics, ou passer par un VPN maîtrisé ;
verrouiller la carte SIM par un code PIN et préférer une application d’authentification aux codes reçus par SMS ;
éteindre puis rallumer régulièrement le téléphone, ce qui supprime les logiciels espions sans persistance ;
protéger l’appareil par un code d’accès robuste ;
se méfier des QR codes, qui masquent la destination du lien ;
ne pas installer d’applications hors des magasins officiels, vérifier leurs permissions et refuser l’accès aux fonctionnalités d’accessibilité sans raison légitime.

Ce que disent les textes

NIS2 : les mesures de gestion des risques de l’article 21 couvrent notamment la gestion des actifs, le contrôle d’accès, l’authentification multifacteur, le chiffrement, l’hygiène informatique et la gestion des incidents. Les smartphones qui accèdent au système d’information en font partie (voir notre analyse NIS2 en France).
RGPD : la perte ou le vol d’un téléphone contenant des données personnelles est une violation de données, à notifier à la CNIL sous 72 heures sauf si elle n’engendre pas de risque pour les personnes, par exemple parce que les données sont chiffrées (voir Un incident, plusieurs horloges). La CNIL recommande le verrouillage automatique, le chiffrement, l’effacement à distance et la désignation d’un contact en cas de perte ou de vol.

Par où commencer

Inventorier la flotte : appareils, versions de système, niveaux de correctifs, et usages de téléphones personnels.
Choisir une politique claire entre terminaux professionnels et usage d’appareils personnels, et l’inscrire dans la charte informatique.
Inscrire tous les terminaux dans la gestion de flotte : mises à jour imposées, applications contrôlées, chiffrement, verrouillage, effacement à distance.
Fixer un niveau minimal de correctifs et bloquer l’accès aux applications de l’entreprise en dessous.
Ajouter la détection des menaces mobiles et remonter ses alertes dans le SIEM.
Protéger les profils exposés : téléphones dédiés, modes de durcissement, procédure pour les déplacements.
Préparer le playbook de perte, de vol ou de compromission : effacement, révocation des secrets, notification éventuelle, contact du CERT-FR.

Les assistants d’IA arrivent eux aussi sur les téléphones, avec de nouveaux risques : voir notre analyse Quand l’IA agit sur le téléphone.

Sources

← Toutes les analyses