Il n’est pas rare d’entendre que sur WhatsApp, il suffirait d’ouvrir une photo pour qu’un pirate prenne le contrôle de votre téléphone. Cette affirmation inquiétante repose sur un fond de vérité. Mais elle ne devient possible que dans des circonstances très particulières. Puisque ce n’est pas la photo elle-même qui est dangereuse. Mais c’est plutôt une éventuelle faille de sécurité présente dans l’application ou dans le système d’exploitation du téléphone qui rend cette piraterie possible.
En effet, contrairement à un logiciel malveillant, une image au format JPEG, PNG ou GIF ne peut pas exécuter de programme toute seule. Elle ne contient que des données de couleurs et de luminosité qui seront affichés à l’écran. Par contre, lorsque vous recevez une photo sur WhatsApp, l’application et le système d’exploitation doivent l’analyser afin d’en afficher un aperçu.
Si le logiciel chargé de cette opération contient une faille de sécurité encore inconnue ou non corrigée, un pirate peut alors l’exploiter. Le pirate crée alors une image spécialement conçue pour exploiter cette vulnérabilité. Il peut notamment dissimuler du code malveillant dans les métadonnées ou fabriquer un fichier volontairement malformé. Ainsi, les données malveillantes vont tromper le logiciel et l’amener à exécuter le code caché du pirate au lieu de simplement afficher l’image. Autrement dit, ce n’est pas la photo elle-même qui attaque le téléphone. Mais, c’est le bug du logiciel chargé de la traiter qui est exploité.
WhatsApp piraté via une photo : quelles probabilités d’être touché ?
Dans la pratique, ce type d’attaque est rare, car elle requiert que plusieurs conditions soient réunies pour fonctionner. Concrètement, il faut d’abord qu’une vulnérabilité du type “zéro-click” non corrigée existe sur le téléphone ciblé. Une vulnérabilité est dite « zero-click » quand elle est exploitable sans qu’aucune action ne soit nécessaire de la part de l’utilisateur. Ensuite, le pirate doit connaître cette faille et disposer d’un outil capable de l’exploiter avant qu’un correctif ne soit publié. Enfin, il faut que l’utilisateur ait activé le téléchargement automatique sur son téléphone.
En raison de cette complexité, ces attaques sont généralement réservées à des opérations de cyberespionnage visant des personnalités sensibles. C’est le cas notamment des journalistes, des responsables politiques, des chefs d’entreprise ou des militants. Elles nécessitent des moyens techniques importants et sont rarement utilisées contre le grand public.
Mais, attention ! Même si le risque est faible, il n’est pas inexistant. Des chercheurs en cybersécurité ont déjà découvert plusieurs failles permettant d’exploiter des fichiers multimédias envoyés via des applications de messagerie. L’un des exemples les plus récents est celui d’une vulnérabilité référencée «CVE-2025-21042» découverte sur certains smartphones Samsung. Cette faille résidait dans une bibliothèque chargée de traiter les images au format DNG, un format brut de photographies. Des chercheurs ont alors démontré qu’une image DNG spécialement conçue, envoyée via WhatsApp, pouvait exploiter cette faille pour exécuter du code malveillant à distance et prendre le contrôle du téléphone. Les recherches ont également documenté d’autres exemples.
Dès qu’ils découvrent ces vulnérabilités, les éditeurs concernés, comme Google, Meta, Apple ou Samsung, publient rapidement des correctifs de sécurité. C’est pourquoi il est essentiel de maintenir WhatsApp, le système d’exploitation de son téléphone voire ses autres applications à jour. Installer les derniers correctifs réduit considérablement les risques d’être exposé à ce type d’attaque.
