Une attaque ciblant des iPhone a été utilisée pour espionner la minorité musulmane de Chine. Des responsables américains, écrit la Technology Review du MIT, affirment qu'elle a été développée lors de la plus grande compétition de recherche de vulnérabilités du pays.

Les hackers chinois ont longtemps dominé les concours type Pwn2Own consistant à exploiter des failles de sécurité dans divers systèmes d'exploitation et logiciels. Mais en 2017, tout s'est arrêté, raconte le MIT.

Le PDG fondateur (et milliardaire) du géant chinois de la cybersécurité Qihoo 360, un des leaders du secteur, critiqua publiquement les Chinois partant à l'étranger pour participer à de telles compétitions. Dans une interview, il expliqua qu'une fois ce type de vulnérabilités exposées à l'étranger, elles ne pouvaient plus être exploitées.

Il les exorta à « rester en Chine » afin de leur permettre de reconnaître la « valeur stratégique » de ces failles.

Peu de temps après, les autorités chinoises leur interdirent de participer à des compétitions à l'étranger, et un nouveau concours, la Coupe Tianfu, fut organisée, promettant des prix totalisant plus d'un million de dollars. 

Lors du premier Tianfu, en novembre 2018, le chercheur Qixun Zhao, de Qihoo 360, remporta 200 000 dollars pour avoir identifié une chaîne d'exploits, qu'il surnomma « Chaos ». Elle permettait de prendre le contrôle des iPhone les plus récents et à jour, via une faille dans le navigateur Safari.

Deux mois plus tard, Apple corrigeait la faille. Mais Google identifia cinq chaînes d'exploit, reprenant Chaos, exploitant des iPhone « en masse » mais sans, pour autant, identifier l'attaquant ni les victimes.

D'après le MIT Technology Review, les États-Unis seraient parvenus à faire le lien entre la Coupe Tianfu, Chaos, et le fait que l'attaque visait bel et bien à permettre aux autorités chinoises d'espionner des musulmans Ouïghours.

« La décision initiale de ne pas permettre aux pirates de se rendre à l'étranger pour participer à des compétitions semble être motivée par le désir de conserver les vulnérabilités découvertes en Chine », déclare Adam Segal, expert en politique de cybersécurité chinoise au Council for Foreign Relations. Elle a également coupé les principaux hackers chinois d'autres sources de revenus « afin qu'ils soient contraints de se rapprocher de l'État et des entreprises établies ».

Qihoo, évalué à plus de 9 milliards de dollars, est par ailleurs l'une des dizaines d'entreprises chinoises ajoutées à une liste noire commerciale par les États-Unis en 2020. Le département du Commerce avait estimé qu'elle pourrait soutenir l'activité militaire chinoise.