Attaque « zéro click » : comprendre cette menace invisible et réelle

Imaginez : vous êtes tranquillement installé dans votre canapé, téléphone en main. Soudain, il se met à chauffer, la batterie fond à vue d’œil, des applications s’ouvrent seules… Vous avez beau n’avoir cliqué aucun lien, votre téléphone a bien été compromis. Impossible ?

Non… On vous présente une attaque « zero-click ». Heureusement, même face à ce type d’attaques « invisibles », des solutions existent. Découvrons ensemble en détail les attaques zero-click et comment s’en protéger efficacement.

Qu’est-ce qu’une attaque « zero-click » ?

Contrairement aux arnaques classiques (phishing, malware), qui s’appuient sur une erreur humaine, une attaque zero-click ne demande aucune interaction de votre part. Pas besoin de cliquer sur un lien, d’ouvrir un email, ni de télécharger une pièce jointe compromise…. La seule réception d’un message, d’un fichier audio ou même un simple appel manqué suffit à infecter votre appareil. L’attaque s’exécute parce qu’une faille dans un logiciel ou une application est exploitée automatiquement.

Par exemple, un message invisible envoyé via iMessage ou WhatsApp peut contenir un code malveillant qui s’exécute instantanément à la réception. Cette attaque profite notamment des failles dans les systèmes de messagerie ou dans les moteurs de rendu d’images, GIF, vidéos ou autres fichiers.

Cette technique quasi indétectable est redoutable aussi bien pour l’utilisateur que pour les systèmes de sécurité classiques, elle sert souvent à installer des logiciels espions ou à voler des données sensibles à l’insu total de la cible.

Qui sont les cibles privilégiées ?

Ces cyberattaques sont extrêmement coûteuses à développer et à vendre, et sont donc souvent utilisées de manière ciblée (politique, journalisme…). En 2025, pendant près de trois mois, une campagne d’espionnage numérique a visé des utilisateurs d’iPhone et de Mac via WhatsApp… Cette faille aurait ciblé des journalistes, des membres d’ONG et des travailleurs humanitaires. La messagerie a depuis corrigé la faille de sécurité qui permettait ces attaques.

Pour autant, la vulnérabilité touche aussi potentiellement toutes les entreprises : un employé ciblé par une attaque peut devenir une porte d’entrée vers l’organisation toute entière. En général, pour le grand public les menaces les plus courantes restent le phishing, le rançongiciel ou les virus classiques. Mais il ne faut pas baisser la garde ! En effet, les vulnérabilités dites « zero-day » qui permettent ces attaques peuvent être découvertes et corrigées… ou au contraire rendues publiques, voire vendues sur le marché noir. Dans ce cas, elles deviennent accessibles à un plus grand nombre de cybercriminels, ce qui élargit le risque.

Comment se protéger d’une attaque « zéro click » ?

Alors, que peut-on faire face à une menace aussi invisible ? Même si la protection est limitée, car l’attaque ne dépend pas de vous, il existe des réflexes essentiels pour minimiser les risques.

•    Mettez vos appareils à jour : les mises à jour corrigent les failles de sécurité exploitées par les pirates. Activez les mises à jour automatiques pour rester protégé. Pour ne rien oublier, activez les mises à jour automatiques dès que possible.

•    Séparez vos usages : si votre travail vous expose à des risques, il est conseillé de séparer vos activités sensibles. Utilisez un téléphone ou un ordinateur pour les communications professionnelles et un autre pour vos communications personnelles

•    Redémarrez vos appareils régulièrement : la plupart des attaques zero-click sont temporaires et non persistantes, elles fonctionnent seulement grâce à une suite de failles temporaires : un simple redémarrage peut les neutraliser.

•    Désactivez la prévisualisation : dans certaines applications de messagerie, désactiver l’aperçu des liens ou des images peut réduire les possibilités d’attaques, même si ce n’est pas une protection totale. 

Les attaques zero-click sont redoutables et représentent une menace de premier plan dans le monde de la cybersécurité. Elles nous rappellent que la sécurité ne dépend pas toujours de l’utilisateur, mais aussi de la robustesse des systèmes que nous utilisons. Si elles ciblent surtout les profils à « haut risque », gardons dans un coin de la tête que tout le monde peut être concerné un jour.