Un simple appel téléphonique peut entraîner une prise de contrôle : l'ère nouvelle des cyberattaques sur WeChat avec l'IA "WeWorm"

Un appel d'un ami arrive sur le smartphone.

Il suffit de regarder l'écran, sans répondre à l'appel. Ne pas cliquer sur des liens suspects. Ne pas ouvrir de fichiers.

Et pourtant, l'attaque est déjà en cours――.

Une telle expérience, qui ébranle les notions traditionnelles de cybersécurité, a été rendue publique en septembre 2026.

La cible était WeChat, une immense infrastructure de vie en Chine. Le ver de démonstration "WeWorm", développé par l'entreprise de sécurité californienne Calif, a démontré qu'il était possible de prendre le contrôle d'un compte en exploitant une vulnérabilité dans la fonction d'appel vocal de WeChat, avant même que l'autre partie ne réponde à l'appel.

Ce qui a particulièrement attiré l'attention, c'est que le compte infecté pouvait appeler un autre ami et se propager de manière autonome entre Android et iPhone.

Cependant, il est important de souligner dès le début.

Ce n'est pas un incident où "1,4 milliard de personnes en Chine ont été infectées".

Il s'agit d'une démonstration de dangerosité réalisée par des chercheurs en sécurité dans un environnement sécurisé, et il n'existe aucune preuve d'une exploitation à grande échelle dans le monde réel, selon les informations disponibles. Les chercheurs ont signalé la vulnérabilité à Tencent avant la publication, et Tencent a pris des mesures.

Néanmoins, il y a une raison pour laquelle cette recherche a attiré l'attention mondiale.

Le problème fondamental n'est pas qu'il y avait "un bug dans WeChat".

C'est que le temps et le coût humain nécessaires pour créer des cyberattaques sophistiquées commencent à être rapidement réduits par l'IA.

En Chine, WeChat dépasse le cadre d'une simple "application"

Comprendre WeChat uniquement comme une application de messagerie comme LINE ou WhatsApp conduit à sous-estimer l'ampleur du problème actuel.

Weixin pour la Chine continentale et WeChat pour l'étranger incluent non seulement des messages, des appels vocaux et vidéo, mais aussi des paiements, des comptes officiels d'entreprises, des mini-programmes, des recherches, des jeux, des vidéos, et bien d'autres services sur une seule plateforme.

Selon Tencent, le nombre d'utilisateurs actifs mensuels combinés de Weixin et WeChat a dépassé 1,4 milliard au premier trimestre 2026.

En Chine, de nombreuses activités quotidiennes, telles que faire des achats et payer, réserver des magasins, contacter des entreprises, et discuter avec des collègues, se déroulent entièrement sur WeChat.

Ainsi, un compte WeChat a une signification bien au-delà d'un simple compte de réseau social.

Même si le smartphone lui-même n'est pas complètement pris, le simple fait que les messages puissent être lus et écrits, que l'on puisse se faire passer pour la personne, et que des appels puissent être passés à des amis, constitue un préjudice grave.

En d'autres termes, ce qui est mis en évidence ici est non seulement un problème de vulnérabilité d'une application, mais aussi le risque de concentrer les fonctions sociales sur une immense plateforme.

Une attaque réussie "même sans répondre à l'appel"

WeWorm a exploité une vulnérabilité de corruption de mémoire dans la partie traitant des appels Internet de WeChat, connus sous le nom de VoIP.

Dans une attaque de phishing classique, la victime doit cliquer sur un lien ou ouvrir un fichier malveillant.

Cependant, dans une attaque dite "zéro clic", même cette opération n'est pas nécessaire.

Dans l'expérience de l'équipe de recherche, l'attaque a été exécutée pendant que le smartphone de l'autre partie traitait l'appel entrant sur WeChat.

Il n'est pas nécessaire de répondre à l'appel.

Il n'est pas nécessaire de lire les messages.

Il n'est pas nécessaire d'installer quoi que ce soit.

L'appel entrant lui-même devient la porte d'entrée de l'attaque.

Calif a démontré en passant un appel WeChat d'un appareil Android à un iPhone, prenant le contrôle du compte sur l'iPhone, puis appelant un autre appareil Android depuis cet iPhone pour compromettre le compte suivant.

C'est ce mécanisme où "l'appareil infecté devient le prochain attaquant" qui justifie que WeWorm soit appelé un ver.

Être un ami devient une "arme" plutôt qu'une "défense"

WeWorm a également des conditions importantes.

Le compte WeChat de l'attaquant devait être dans la liste d'amis de la cible.

À première vue, cela peut sembler une limitation assez importante.

Parce qu'une personne inconnue ne peut pas infecter quelqu'un simplement en passant un appel aléatoire.

Cependant, dans un ver auto-propagateur, la signification de cette condition change.

Par exemple, si le compte de la personne A est compromis d'une manière ou d'une autre.

L'attaquant peut alors appeler la personne B, qui est amie avec la personne A, depuis le compte de la personne A.

Si la personne B est compromise, cela se propage ensuite aux amis de la personne B.

Normalement, l'information de "contact d'un ami" augmente la sécurité.

Cependant, dès qu'une personne est compromise, cette relation de confiance elle-même devient un atout pour l'attaquant.

Le "graphe social" que les SNS et les services de messagerie ont construit au fil des années peut devenir une voie de propagation pour le ver.

Prendre le contrôle d'un compte WeChat n'est pas la même chose que "prendre le contrôle total d'un smartphone"

Il y a une autre distinction importante à faire pour comprendre cette nouvelle.

La capacité centrale confirmée dans l'expérience de WeWorm est "la prise de contrôle d'un compte WeChat".

Selon les chercheurs, après la compromission, il est possible de lire et d'envoyer des messages, de passer des appels, et d'agir comme la personne elle-même.

Cependant, il n'a pas été démontré que WeWorm seul pouvait prendre le contrôle total d'un appareil iPhone ou Android.

Bien qu'il soit possible que cela évolue vers une attaque au niveau de l'appareil en combinant d'autres vulnérabilités du système d'exploitation, il est nécessaire de distinguer entre "une attaque pour prendre le contrôle d'un compte WeChat" et "une attaque pour prendre le contrôle de l'ensemble du smartphone".

Dans les nouvelles et sur les réseaux sociaux, des expressions telles que "pirater complètement un smartphone avec un seul appel" sont plus faciles à diffuser.

Cependant, pour comprendre le risque réel, il est important de distinguer ce qui a été démontré de ce qui est une extension théorique.

Le plus grand choc n'est pas que "l'IA ait attaqué"

Ce qui est le plus important dans cette nouvelle, ce n'est pas que l'attaque zéro clic ait fait son apparition pour la première fois.

Les vulnérabilités de type zéro clic existent depuis longtemps et ont été utilisées dans des logiciels espions sophistiqués.

Ce qui a particulièrement attiré l'attention cette fois, c'est la vitesse de développement.

Calif a déclaré que, grâce à la collaboration avec l'IA, le travail réel pour découvrir la vulnérabilité et créer la première attaque d'exécution de code à distance a pris environ 2 jours, et qu'il a fallu environ une semaine de plus pour créer le ver auto-propagateur.

Cependant, ces chiffres proviennent de l'explication de l'équipe de recherche elle-même et ne sont pas des benchmarks réalisés par une tierce partie indépendante.

Selon la chronologie publiée, l'équipe de recherche a pris conscience du problème le 23 juillet. Ils ont signalé à Tencent le 24 juillet, le code d'attaque pour Android a été achevé le 30 juillet, la version iOS le 2 août, et la démo complète traversant Android et iOS a été achevée le 11 août.

Cela ne signifie donc pas que "tout a été achevé en 48 heures après la découverte".

Néanmoins, le fait que l'IA accélère les étapes telles que l'analyse de code, la recherche de vulnérabilités potentielles, et la création de code d'attaque est un changement que l'industrie de la sécurité ne peut ignorer.

L'IA abaisse la "barrière d'entrée aux attaques sophistiquées"

Les cyberattaques sophistiquées ont toujours eu une grande barrière d'entrée.

Il faut des connaissances spécialisées sur le fonctionnement des systèmes d'exploitation, les langages de programmation, les réseaux, la gestion de la mémoire, la cryptographie, et le reverse engineering.

De plus, découvrir une vulnérabilité ne signifie pas pouvoir attaquer immédiatement.

Il y a une grande différence entre un bug qui provoque un crash et une vulnérabilité qui permet d'exécuter du code arbitraire de manière stable.

Lire de grandes quantités de code.

Chercher des comportements anormaux.

Faire des hypothèses sur les causes.

Écrire du code de test.

Échouer.

Analyser les résultats.

Écrire à nouveau du code.

Ces essais et erreurs ont constitué la majeure partie de la recherche en cyberattaques.

L'IA a le potentiel d'accélérer considérablement cette vitesse de répétition.

Les experts humains déterminent les objectifs et les méthodes de vérification sécurisées, tandis que l'IA effectue une analyse de code et des essais et erreurs en masse.

Si cette combinaison mûrit, il pourrait être possible pour de petits groupes de faire le travail qui nécessitait auparavant de grandes équipes spécialisées.

Ce n'est pas seulement un problème pour les criminels.

Les agences gouvernementales, les entreprises, les chercheurs en sécurité, et les groupes de cybercriminalité peuvent tous utiliser la même technologie IA.

Si "les attaquants utilisent l'IA", alors les défenseurs aussi

Voir WeWorm uniquement comme un "incident prouvant le danger de l'IA" ne saisit que la moitié de l'essence.

Les chercheurs qui ont découvert la vulnérabilité ne l'ont pas utilisée pour des attaques réelles, mais l'ont signalée à Tencent.

Selon la chronologie publiée par Calif, ils ont notifié Tencent le 24 juillet. La version Android 8.0.77 et la version iOS 8.0.76 ont été publiées le 21 août, et le 28 août, l'équipe de recherche a confirmé que l'attaque était également bloquée côté serveur.

Tencent a expliqué à un autre média qu'ils avaient effectué des corrections côté serveur et qu'aucune action spéciale n'était nécessaire de la part des utilisateurs. Ils ont également déclaré qu'il n'y avait aucune preuve d'une exploitation réelle de ce problème ou de dommages aux utilisateurs.

Ce que cela montre, c'est que l'IA n'est pas une "arme réservée aux attaquants".

Si l'IA peut découvrir des vulnérabilités inconnues rapidement, les entreprises peuvent également utiliser l'IA pour découvrir les mêmes vulnérabilités avant de publier leurs produits.

À une époque où les attaquants explorent 24 heures sur 24 avec l'IA, une défense qui repose uniquement sur des revues de code humaines prenant des semaines ne peut pas suivre.

Ce n'est pas IA contre humain, mais

"attaquants utilisant l'IA" contre "défenseurs utilisant l'IA"

qui pourrait devenir une course de vitesse.

Sur les réseaux sociaux, les réactions oscillent entre "trop effrayant" et "regardez calmement"

Après la publication de WeWorm, cela a fait parler sur X, Reddit, et Weibo en Chine.

Ce qui s'est particulièrement répandu, c'est la partie "même sans répondre à l'appel, on peut être piraté".

Sur Weibo en Chine, des utilisateurs ont posté des messages expliquant que "en termes simples, on peut être piraté sur WeChat sans rien faire, juste en recevant un appel vocal".

En même temps, des messages expliquant que "cela a déjà été corrigé, il suffit de mettre à jour" et que "ce n'est pas un problème du système d'exploitation du smartphone lui-même, mais de WeChat" ont également été partagés, montrant des réactions cherchant à organiser l'impact réel plutôt que de céder à la peur.

Les experts en sécurité à l'étranger se sont concentrés sur des aspects légèrement différents.

John Scott-Railton, chercheur au Citizen Lab, a mentionné sur X que cette recherche montre des signes de changement dans l'équilibre entre attaquants et défenseurs, et a mis en garde contre une augmentation potentielle des intrusions dans des services largement utilisés.

L'équipe de recherche WeWorm elle-même a également présenté sur X le mécanisme par lequel un compte peut être compromis par un simple appel entrant et se propager au prochain ami, tout en précisant que l'objectif de la recherche n'est pas d