Un smartphone éteint est-il vraiment en sécurité ? On aurait tendance à le croire. Pas d’écran, pas de connexion, pas de risque. C’est cette idée reçue que le laboratoire de cybersécurité de Ledger, surnommé le « Donjon », vient de fracasser en démontrant qu’une faille Android critique sur les puces MediaTek permet de compromettre un appareil en moins d’une minute, même hors tension. En 45 secondes très exactement, dans les conditions du test réalisé à Paris. De quoi changer radicalement notre rapport à la sécurité des appareils mobiles.
Qu’est-ce que cette faille Android MediaTek, concrètement ?
La vulnérabilité découverte par les experts du Donjon cible une combinaison précise : les smartphones Android équipés de processeurs MediaTek associés à l’environnement d’exécution sécurisé de Trustonic, connu sous le nom de TEE (Trusted Execution Environment). Ce n’est pas une niche anecdotique. On parle d’environ un smartphone Android sur quatre dans le monde, soit des centaines de millions d’appareils potentiellement concernés.
Le TEE est censé être la forteresse imprenable du téléphone : un environnement isolé du système Android standard, dans lequel sont stockés les éléments les plus sensibles, comme les clés cryptographiques, les données biométriques ou encore les identifiants de sécurité. Le problème, c’est que la forteresse avait une porte dérobée.
La faille dans la chaîne de démarrage sécurisé
Techniquement, la brèche se situe dans la séquence de démarrage sécurisé (Secure Boot) des puces MediaTek. Cette séquence s’exécute avant même qu’Android ne commence à charger : c’est elle qui est censée vérifier l’intégrité de chaque composant logiciel avant de lui donner le droit de s’exécuter. Une sorte de contrôle d’identité à l’entrée du système.
Les chercheurs ont identifié une faiblesse dans ce processus permettant d’extraire des clés cryptographiques racines. Or, ces clés sont le sésame absolu : une fois récupérées, elles permettent de déchiffrer l’intégralité du contenu du téléphone, même si ce dernier est éteint et que son stockage est chiffré.
Ce qu’un attaquant peut réellement faire
Les données accessibles via cette vulnérabilité ne sont pas anodines. En exploitant la faille, un attaquant peut potentiellement :
- Récupérer le code PIN de déverrouillage du téléphone,
- Accéder aux messages, photos et fichiers personnels,
- Lister les applications installées et leurs données,
- Extraire des seed phrases (phrases de récupération) liées à des portefeuilles de cryptomonnaies.
Ce dernier point mérite qu’on s’y arrête. Une seed phrase, généralement composée de 12 ou 24 mots, est la clé maîtresse d’un portefeuille crypto. Si elle est compromise, l’intégralité des fonds associés peut être volée, sans aucun recours possible. Des applications très répandues comme Trust Wallet, Phantom ou Kraken Wallet étaient concernées dans la démonstration du Donjon.
La démonstration : 45 secondes, un câble USB et c’est plié
Pour ne pas rester dans le domaine de la théorie, les chercheurs de Ledger ont réalisé une démonstration pratique dans leur laboratoire parisien. Le protocole est déconcertant de simplicité : un smartphone Nothing CMF Phone 1 totalement éteint, un câble USB et un ordinateur portable. C’est tout.
En 45 secondes chrono, l’équipe a réussi à contourner les protections du TEE, à extraire les clés cryptographiques racines, puis à déchiffrer le stockage interne de l’appareil. Résultat : code PIN récupéré, données personnelles accessibles, seed phrases exposées. Le tout sans que le propriétaire du téléphone ait la moindre interaction avec l’appareil.
Ce qui rend ce scénario particulièrement crédible, c’est qu’il ne nécessite aucune compétence hors norme. Un accès physique de moins d’une minute suffit. Un téléphone oublié sur une table dans un café, laissé dans une poche lors d’un contrôle aux frontières, ou simplement posé sans surveillance dans un espace de coworking : autant de situations où ce type d’attaque serait théoriquement réalisable.
Qui est à l’origine de la découverte, et pourquoi Ledger s’y intéresse ?
Le « Donjon » est l’équipe de recherche en sécurité offensive de Ledger, fabricant français de portefeuilles matériels pour cryptomonnaies. Leur métier consiste précisément à chercher des failles dans les environnements d’exécution sécurisés, car ces mêmes technologies protègent (ou sont censées protéger) des actifs numériques de valeur.
Ce n’est pas un hasard si c’est Ledger qui fait cette découverte. Comme l’a expliqué Charles Guillemet, directeur technique de Ledger, dans un entretien repris par Maddyness, les smartphones n’ont jamais été conçus pour servir de coffres-forts numériques. Ils sont pensés pour la commodité, pas pour la sécurité absolue. Cette découverte illustre avec éclat cette limite structurelle.
Si vous gérez des cryptomonnaies depuis votre téléphone, cette faille est une invitation à reconsidérer sérieusement l’utilisation d’un portefeuille matériel dédié plutôt que de confier vos seed phrases à une application mobile. Les enjeux financiers sont trop importants pour prendre ce risque à la légère.
Un correctif existe, mais encore faut-il l’installer
La bonne nouvelle, c’est que les chercheurs ont suivi la procédure dite de divulgation responsable : avant de rendre la faille publique, ils ont contacté MediaTek, qui a rapidement développé et transmis un correctif aux fabricants de smartphones le 5 janvier 2026. La vulnérabilité n’a été révélée publiquement que le 2 mars 2026, laissant deux mois aux constructeurs pour intégrer ce patch dans leurs mises à jour Android.
Mais voilà le problème : le correctif existant ne sert à rien si les utilisateurs ne l’installent pas. Et on sait que la mise à jour des appareils mobiles reste le talon d’Achille de la sécurité numérique grand public. Une partie non négligeable des propriétaires de smartphones Android ignorent les notifications de mise à jour pendant des semaines, voire des mois.
Comment savoir si votre téléphone est concerné ?
Pour vérifier si votre appareil est potentiellement vulnérable, posez-vous ces questions :
- Mon téléphone est-il équipé d’un processeur MediaTek ? (Rendez-vous dans Paramètres, puis « À propos du téléphone » ou « Informations sur le matériel »)
- Mon téléphone tourne-t-il sous Android avec l’environnement Trustonic ?
- Ai-je installé les dernières mises à jour de sécurité Android disponibles pour mon modèle ?
Si votre constructeur propose une mise à jour publiée après janvier 2026, installez-la sans attendre. Si votre appareil n’a pas reçu de mise à jour depuis plus de plusieurs mois et que son fabricant n’assure plus le support, il peut être utile de vérifier l’état de sécurité de votre Android et d’envisager le remplacement de l’appareil.
Pourquoi les mises à jour Android sont une question de survie numérique
Cette affaire remet les pendules à l’heure sur un sujet souvent négligé. Les mises à jour Android ne sont pas de simples améliorations cosmétiques ou des ajouts de fonctionnalités. Ce sont des rustines essentielles sur des brèches réelles, souvent découvertes après des mois de recherche par des équipes spécialisées.
En France, les attaques visant directement les smartphones se multiplient et se professionnalisent. Le vecteur physique, celui qui nécessite un accès momentané à l’appareil, est souvent sous-estimé par rapport aux menaces en ligne. En cas de doute, plusieurs signes permettent de savoir si son téléphone est piraté, avant même de chercher la cause précise.
Pourtant, dans des contextes à risque (voyages, contrôles, vols), ce type d’attaque est redoutablement efficace.
Quelques réflexes simples permettent de réduire considérablement l’exposition :
- Activer les mises à jour automatiques dans les paramètres Android.
- Ne jamais laisser son téléphone sans surveillance dans un environnement non sécurisé.
- Utiliser un câble USB de charge uniquement (sans transfert de données) dans les espaces publics.
- Stocker les seed phrases de cryptomonnaies sur un portefeuille matériel dédié, jamais sur un smartphone.
- Vérifier régulièrement dans Paramètres le niveau du patch de sécurité Android installé.
Questions fréquentes
Tous les smartphones Android sont-ils concernés par cette faille ?
Non. La faille touche spécifiquement les appareils Android équipés d’un processeur MediaTek combiné à l’environnement sécurisé Trustonic (TEE). C’est une combinaison présente sur environ un quart des smartphones Android dans le monde. Les téléphones utilisant d’autres puces (Qualcomm Snapdragon, Samsung Exynos, Apple A-series pour iOS) ne sont pas concernés par cette vulnérabilité précise.
Mon téléphone éteint peut-il vraiment être piraté ?
C’est précisément ce que prouve cette découverte. Lorsqu’un téléphone est éteint, certaines zones de mémoire et certains composants restent accessibles via l’interface USB. La faille exploite la séquence de démarrage sécurisé des puces MediaTek, qui s’active avant même qu’Android ne se lance, permettant d’extraire des clés cryptographiques sans que l’appareil soit allumé.
Comment savoir si mon téléphone a reçu le correctif ?
Rendez-vous dans Paramètres, puis « À propos du téléphone », et regardez la date du patch de sécurité Android. Si cette date est postérieure à janvier 2026 et que votre fabricant a intégré le correctif MediaTek dans sa mise à jour, vous êtes protégé. Dans le doute, vérifiez le site de support de votre constructeur (Samsung, Xiaomi, Oppo, Nothing, etc.).
Que risquent concrètement les utilisateurs de wallets crypto sur smartphone ?
Le risque est maximal. Cette faille permet d’extraire les seed phrases stockées dans des applications comme Trust Wallet, Phantom ou Kraken Wallet. Une seed phrase compromise signifie un accès total au portefeuille correspondant. Les fonds peuvent être transférés de manière irréversible. La recommandation des experts est claire : ne jamais stocker ses seed phrases sur un smartphone, et préférer un portefeuille matériel physique.
Que faire si mon constructeur ne publie plus de mises à jour pour mon modèle ?
Si votre smartphone n’est plus supporté par son fabricant (ce qui est souvent le cas au-delà de 3 à 4 ans pour beaucoup de marques), vous ne recevrez pas le correctif. Dans ce cas, plusieurs options s’offrent à vous : envisager le remplacement du téléphone, éviter d’y stocker des données sensibles ou des applications financières, et ne jamais laisser l’appareil sans surveillance avec accès USB libre.
