Votre smartphone est-il une cible ? Ce que révèle le rapport de l’ANSSI

Espionnage silencieux, usurpation de numéro, attaques sans clic...En 2025, le smartphone n’est plus un gadget périphérique. C’est devenu une cible de choix pour les cybercriminels et un angle mort dans bien des stratégies de sécurité.

Le 26 novembre, l’ANSSI a tiré la sonnette d’alarme dans une alerte technique limpide : nos terminaux mobiles concentrent aujourd’hui authentification, messagerie, outils métiers… et exposent des accès critiques. Un smartphone compromis, c’est potentiellement une authentification MFA détournée, des fichiers exfiltrés, des décisions confidentielles mises sur écoute.

On a épluché le rapport, extrait l’essentiel et traduit les constats en leviers concrets pour les RSSI, DPO, IT & risk managers.

Objectif : vous aider à refermer une porte d’entrée devenue trop facile à forcer.

Une large palette de techniques

Dans de nombreuses entreprises, le risque mobile reste encore flou. Abstrait. Lointain. Mais à la lecture du rapport de l’ANSSI, il n'y a plus d’ambiguïté : les attaques sur mobile ne sont pas un scénario de science-fiction ; elles sont déjà en cours. Et elles ne prennent pas une seule forme : elles s’adaptent au contexte, au profil de la cible, et surtout… aux moyens et à la créativité des attaquants. Voici à quoi elles ressemblent.

1. Zéro-clic (zero-click)

Certaines attaques n’ont besoin d’aucune action de la victime. Pas de clic, pas d’ouverture de message. Un simple message piégé, jamais visible à l’écran, suffit à exploiter une faille et à installer discrètement un logiciel espion. Ces attaques sont rares, mais redoutables : invisibles, silencieuses, elles sont taillées pour le ciblage fin (dirigeants, élus, journalistes, profils sensibles). Et elles sont quasi indétectables si on n’est pas préparé.

2. Phishing, smishing, vishing, QRshing

Quand le niveau technique ne suit pas, les hackers misent sur leur meilleur atout : la naïveté humaine. Un SMS de livraison bidon. Un QR code posé dans un lieu public. Un message WhatsApp qui pousse à cliquer. Ce sont des attaques simples, mais efficaces, surtout quand les campagnes de sensibilisation restent centrées sur les usages PC et délaissent complètement le mobile.

3. Détournement de carte SIM

On appelle ça le SIM swapping : détourner un numéro de téléphone pour intercepter des SMS, valider des opérations ou prendre le contrôle d’un compte professionnel. Le hic ? De nombreuses entreprises utilisent encore le SMS comme second facteur d’authentification. Or ce vecteur est régulièrement contourné.

4. Espionnage physique

Parfois, il n’y a ni faille technique, ni manipulation à distance. Un accès physique au téléphone (dans un cadre personnel ou professionnel) suffit pour installer une application d’espionnage (stalkerware) capable d’intercepter messages, appels ou position GPS. C’est une zone grise, entre vie privée et enjeux professionnelle. Mais les conséquences, elles, sont très concrètes.

5. Interfaces radio : des portes d’entrée oubliées

Wi-Fi public, Bluetooth actif en permanence, réseaux obsolètes ou non sécurisés… Tous ces canaux sont encore utilisés pour intercepter ou exfiltrer des données.

Pris individuellement, ces vecteurs peuvent sembler marginaux. Mais ensemble, ils composent une surface d’attaque mobile plus large et moins maîtrisée que celle des postes fixes.

Espionnage mobile : quand le marché s’organise

Longtemps réservé aux services étatiques, l’espionnage mobile devient une activité… commerciale. Oui, vous avez bien lu. Le rapport de l’ANSSI décrit l’émergence d’un marché structuré, avec ses développeurs, ses prestataires, ses services de support.

Des outils pro, accessibles au plus offrant

Ce ne sont plus seulement les États qui utilisent ces capacités de surveillance mobile. Toute entité disposée à payer (entreprise, acteur privé, groupe criminel) peut désormais accéder à des outils puissants et prêts à l’emploi.

Résultat :

• Plus d’opérations ciblées, menées avec discrétion et précision, 

• Des victimes plus variées : dirigeant PME, journaliste, expert sectoriel, etc., 

• Un risque de fuite ou de réutilisation de ces outils qui explose. 

Le message du rapport est limpide : le niveau de menace n’est plus l’exception, il devient la norme. Autrement dit : si vous attendez des signes de crise pour vous y intéresser, vous êtes déjà en retard.

Trois tendances à suivre de près

Si vous pensiez que l’essentiel du risque mobile venait des apps douteuses et des Wi-Fi publics, l’ANSSI vous invite à élargir votre radar. Le rapport met en lumière trois grandes tendances qui redéfinissent le paysage :

1. Profilage via les données publicitaires

Les données de géolocalisation, d’usage ou de navigation collectées à des fins marketing sont détournées à des fins de profilage indirect. L'objectif ? Repérer les habitudes, les lieux fréquentés, les déplacements et affiner les cibles.

2. Contenus malveillants plus crédibles

L’automatisation des attaques via des modèles d’IA permet de générer des contenus frauduleux (phishing, SMS, notifications) plus convaincants. Moins de fautes, plus de réalisme, et un taux de clic qui grimpe.

3. Convergence SI / OT / mobilité

Le mobile n’est plus isolé. Il fait désormais le lien entre les systèmes d’information classiques, les environnements industriels, les systèmes embarqués… bref, tout ce que vous cherchez à sécuriser. En compromettant un smartphone, un attaquant peut aujourd’hui traverser des frontières IT/OT autrefois bien étanches.

La lecture technique ne suffit plus. Les menaces mobiles s’inscrivent dans des logiques comportementales, systémiques, et transverses. Il faut les penser comme des menaces d’organisation, pas seulement d’appareil.

Sécuriser le mobile : par où commencer ?

Pas besoin d’attendre la solution parfaite (spoiler : elle n’existe pas). L’ANSSI le souligne : l’impact passe par des mesures ciblées, à activer rapidement, et adaptées à votre contexte.

Voici un plan d’action en 3 temps.

Mesures immédiates (0–48 h)

1. Désactiver les interfaces radio inutiles (Wi-Fi, Bluetooth, NFC, etc.)

• Objectif : limiter les portes d’entrée passives.

• Responsable : IT Ops

2. Réduire l’authentification par SMS et prioriser des MFA applicatives (TOTP, push, clés de sécurité…)

• Objectif : couper l’herbe sous le pied aux attaques SIM swap.

• Responsable : Sécurité / IAM

3. Forcer les mises à jour et les redémarrages

• Objectif : éliminer les vulnérabilités connues.

• Responsable : IT / Sécurité

4. Formaliser une procédure d’isolement mobile de manière à savoir agir vite et bien

• Objectif : éviter l’impro total en pleine crise.

• Responsable : RSSI / SOC

Mesures à moyen terme (1–6 mois)

• Séparer clairement les usages professionnels / personnels sur les terminaux. 

• Centraliser la gestion des appareils (MDM, règles, mises à jour). 

• Contrôler l’origine et l’intégrité des apps installées. 

• Cibler la sensibilisation sécurité sur les usages mobiles (QR codes, SMS, etc.). 

Stratégie long terme

• Réduire la surface d’attaque par conception (moindre privilège, cloisonnement). 

• Inclure le mobile dans le plan de continuité d’activité (PCA). 

• Prévoir des exercices de crise simulant une compromission mobile.

Gouvernance : la vraie différence en cas de crise

Le rapport de l’ANSSI le rappelle clairement : la sécurité mobile ne se résume pas à des contrôles techniques.

En cas d’incident, feront la différence :

• la coordination RSSI, DPO et communication,

• la traçabilité des décisions,

• la capacité à expliquer les arbitrages réalisés.

Plus les attaques sont discrètes, plus la gouvernance du risque devient déterminante.

Ce qu'il faut retenir

Le smartphone n’est plus un simple accessoire du quotidien : c’est un point d’entrée critique vers vos données, vos outils, vos décisions. L’alerte de l’ANSSI est claire : la menace mobile n’est pas future, elle est déjà active, ciblée, discrète et souvent négligée.

Mais inutile de céder à la panique ou de viser l’impossible “zéro faille”. L’essentiel, c’est d’avancer avec méthode. En activant d’abord les leviers les plus simples, comme désactiver les interfaces inutiles, renforcer le MFA, forcer les mises à jour, puis en structurant un pilotage clair et assumé du sujet. Car sécuriser le mobile, ce n’est pas juste verrouiller un appareil. C’est protéger les accès les plus sensibles, garantir la continuité des activités et préserver la crédibilité de l’organisation.

Si vous voulez accéder à l'intégralité du rapport, c'est par ici.