DarkSword : piratage de l’iPhone via un site et votre portefeuille crypto

Ce qu’est DarkSword

C’est un kit prêt à l’emploi pour pirater l’iPhone, révélé en mars 2026 par Google Threat Intelligence Group, Lookout et iVerify. Il était placé sur de vrais sites piratés et sur de fausses pages : la personne ouvrait un lien dans Safari et, sur une version d’iOS vulnérable, le téléphone était compromis sans un seul appui sur « autoriser ».

Les cibles étaient les iPhone sous iOS 18.4–18.7 sans les derniers correctifs. Apple a déjà corrigé ces failles. Selon l’estimation d’iVerify, environ 14 % des iPhone dans le monde tournaient sur une version vulnérable au moment de la publication.

Qui est visé

Les attaques confirmées visaient des personnes en Ukraine, en Arabie saoudite, en Turquie et en Malaisie. Le kit a servi à des groupes liés à des États comme à des vendeurs commerciaux de logiciels espions.

Mais DarkSword cherche délibérément les portefeuilles crypto, et les chercheurs évoquent ouvertement un mobile financier chez ses opérateurs. Ces kits sont revendus et réutilisés : quiconque détient des USDT ou du bitcoin sur un vieil iPhone est une cible idéale, où qu’il vive.

Ce qu’il prend sur le téléphone

• Les mots de passe du trousseau de l’iPhone, y compris ceux des sites, des plateformes et du Wi-Fi.
• Les messages : SMS, iMessage, WhatsApp, Telegram, ainsi que les contacts et l’historique des appels.
• L’historique et les cookies de Safari, c’est-à-dire les sessions ouvertes des plateformes et de la messagerie.
• Notes, calendrier, données des photos, localisation et informations de comptes.
• Les données des applis crypto. Sa liste de recherche comprend Coinbase, Binance, Kraken, Bybit, OKX, Trust Wallet, MetaMask, Exodus, Ledger, Trezor, SafePal, TokenPocket et d’autres, plus toute appli contenant les mots « wallet », « crypto » ou « bitcoin ». Les portefeuilles TRON tombent aussi sous cette règle.

Si votre phrase de récupération était dans les notes, sur une capture d’écran ou parmi les mots de passe enregistrés, considérez qu’elle a pu être volée.

Les signes : pourquoi il n’y en a presque pas

DarkSword ne s’installe pas durablement : il prend les données en quelques secondes ou minutes, efface ses fichiers temporaires et repart. La batterie ne se vide pas, aucune icône n’apparaît, rien ne reste après un redémarrage.

Un indice faible : Safari ferme la page ou plante plusieurs fois de suite à l’ouverture d’un même site. Cela arrive aussi sans piratage, alors fiez-vous non aux signes mais à deux questions : quelle version d’iOS vous aviez avant mars 2026, et où était votre phrase de récupération.

Que faire maintenant

1. Mettez à jour iOS. Réglages → Général → Mise à jour logicielle. Installez la dernière version disponible et activez les mises à jour automatiques. iVerify recommande au minimum iOS 18.7.6 ou 26.3.1.
2. Votre téléphone ne reçoit plus de mises à jour ? N’y gardez pas de portefeuille approvisionné et ne vous connectez pas à une plateforme depuis celui-ci.
3. Activez le mode Isolement si vous détenez de grosses sommes ou travaillez dans la crypto : Réglages → Confidentialité et sécurité → Mode Isolement. Selon les chercheurs, il bloque DarkSword. Certaines fonctions des sites et des messages sont alors limitées.
4. Retirez la phrase de récupération du téléphone : des notes, des photos, du cloud et du gestionnaire de mots de passe. Gardez-la sur papier ou sur métal, et les grosses sommes sur un portefeuille matériel, voir comment conserver la phrase de récupération.
5. Protégez vos comptes de plateforme : double authentification par appli ou clé, pas par SMS, et liste blanche d’adresses de retrait.
6. N’ouvrez pas les liens d’inconnus et n’installez pas d’applis hors de l’App Store.

Si votre phrase de récupération ou vos mots de passe étaient sur un iPhone vulnérable

1. Sur un appareil à jour, créez un nouveau portefeuille avec une nouvelle phrase de récupération et transférez-y tout. N’utilisez plus l’ancienne adresse.
2. Changez les mots de passe des plateformes, de la messagerie et de l’identifiant Apple, et fermez toutes les sessions actives.
3. Vérifiez l’ancienne adresse dans GuardPay /check : l’historique des transferts montre si de l’argent est parti sans vous.
4. Si l’argent est déjà parti, lancez une recherche dans GuardPay /stolen et lisez que faire si votre portefeuille est piraté. Méfiez-vous des « récupérateurs » qui écrivent en premier, voir arnaques à la récupération.