La vulnérabilité a été détaillée par les chercheurs en sécurité de ZecOps. Même si elle sera corrigée dans iOS 13.4.5 – actuellement en bêta – ils estiment que les utilisateurs doivent être mis au courant, car le colmatage prochain pourrait pousser les pirates à intensifier leur campagne.

Car la faille est très sérieuse : il suffit qu’un email spécialement construit soit envoyé dans la boite de réception pour qu’elle soit activée. Sur iOS 12, l’utilisateur doit l’ouvrir, mais pas sur iOS 13, le traitement automatique étant détourné. Exploitée, la brèche permet un contrôle total du smartphone à distance.

La faille serait exploitée depuis au moins deux ans et aurait déjà fait de nombreuses victimes selon ZecOps, dont un opérateur japonais, une « grande entreprise américaine », des entreprises technologiques en Arabie Saoudite et Israël, un particulier en Allemagne et un journaliste en Europe.

ZecOps indique que d’autres clients comme Gmail et Outlook ne sont pas vulnérables. Il est recommandé de ne plus utiliser Mail le temps que la faille soit bouchée.

Les chercheurs ajoutent que le malware lui-même est difficile à obtenir, les mails le contenant ayant été effacés. Ils espèrent que la publication de l’avertissement motivera Apple à diffuser plus rapidement iOS 13.4.5, qu’il faudra donc installer rapidement.