Apple paie 2 millions de dollars
pour une faille sur iPhone.
Annoncée à Paris en octobre 2025 lors d’une conférence de sécurité, la refonte du programme de primes du constructeur a fait les gros titres pour son montant. L’information intéressante est ailleurs : dans ce que ce prix révèle du marché des failles, et dans la raison pour laquelle une entreprise ordinaire n’est pas concernée par cette menace-là.
Pourquoi payer aussi cher
Le raisonnement est économique. Il existe un marché parallèle où des sociétés commerciales achètent des failles pour les revendre à des États. Tant que ce marché paie mieux, un chercheur a intérêt à lui vendre sa découverte.
Doubler la prime revient donc à renchérir le coût d’acquisition pour ce marché. Ce n’est pas de la générosité, c’est une enchère. Apple reconnaît d’ailleurs implicitement que ses propres défenses, en rendant les failles plus difficiles à trouver, les ont aussi rendues plus rares et donc plus chères.
La nouvelle grille
Elle privilégie les chaînes d’attaque complètes plutôt que les failles isolées, et les montants maximaux ne s’appliquent qu’aux versions les plus récentes du système et du matériel.
Une nouveauté est passée inaperçue et mérite d’être signalée : un versement de mille dollars pour les signalements mineurs sortant des catégories prévues. C’est une porte d’entrée pour les chercheurs débutants, et un moyen de récupérer des informations qui se perdaient jusque-là.
Le programme introduit également des indicateurs intégrés au système, qui permettent à un chercheur de démontrer objectivement qu’une faille est exploitable, et d’obtenir sa récompense sans attendre la publication du correctif.
Ce qu’est une attaque sans clic
C’est la catégorie la mieux rémunérée, et la définition mérite d’être exacte. Une attaque ordinaire suppose une action de la victime : ouvrir un lien, installer un fichier, accorder une autorisation.
Une attaque sans clic ne suppose rien. La réception d’un message suffit, parce que le téléphone traite automatiquement son contenu pour l’afficher. La personne visée peut être parfaitement vigilante et parfaitement informée : cela ne change rien.
Qui est réellement visé
Apple est explicite sur ce point, et son propos est rarement repris : les seules attaques de ce niveau observées en conditions réelles proviennent de logiciels espions commerciaux.
Ces outils sont vendus à des États et déployés contre un très petit nombre de personnes soigneusement choisies : journalistes d’investigation, opposants politiques, avocats, défenseurs des droits. Le coût de développement d’une telle chaîne interdit son usage à grande échelle.
Le risque réel pour une entreprise ordinaire
Il est ailleurs, et il est beaucoup plus banal. Ce qui atteint réellement un artisan, un commerce ou un cabinet ne coûte rien à l’attaquant.
Les quatre dernières lignes sont celles qui vous concernent. Elles sont traitées dans nos articles sur les menaces par messagerie et sur les vols de données passant par les prestataires.
Ce qu’il faut faire, et ne pas faire
Deux actions utiles, et une contre-indication qu’il vaut mieux connaître.
- Installer les mises à jour dès leur publication, y compris les correctifs rapides publiés hors cycle.
- Activer la double authentification sur le compte associé à l’appareil et sur la messagerie professionnelle.
- Ne pas activer le mode de verrouillage renforcé sans raison : il désactive de nombreuses fonctions et ne répond pas à un risque courant.
La première ligne mérite d’être appuyée. Les failles corrigées deviennent publiques au moment du correctif, ce qui donne aux attaquants ordinaires une carte précise des appareils non mis à jour. Le délai entre la publication d’un correctif et l’exploitation de la faille correspondante se compte en jours.
Le même raisonnement vaut pour un site internet, où les correctifs du gestionnaire de contenu et de ses extensions sont la première cause d’intrusion évitable, sujet traité dans supervision et mises à jour.
Ce qu’on nous demande le plus souvent.
Combien paie réellement Apple ?
Deux millions de dollars pour une chaîne d’exploitation ne nécessitant aucune action de la victime, contre un million auparavant. Le système de bonus, qui récompense le contournement du mode de verrouillage et les failles trouvées dans les versions de test, peut porter le total au-delà de cinq millions. Les montants maximaux ne s’appliquent qu’aux versions les plus récentes du système et du matériel.
Qu’est-ce qu’une attaque sans clic ?
Une compromission qui ne demande aucune action de la personne visée : pas de lien à ouvrir, pas de fichier à installer. La réception d’un message suffit. C’est ce qui la rend redoutable, y compris pour un utilisateur prudent et averti.
Un artisan ou une TPE est-il concerné ?
Non, et il faut le dire clairement. Le constructeur indique que les seules attaques de ce niveau observées en conditions réelles proviennent de logiciels espions commerciaux visant des journalistes, des opposants et des personnalités exposées. Une chaîne d’attaque à plusieurs millions de dollars ne se dépense pas contre un plombier.
Quel est alors le vrai risque pour une entreprise ?
L’hameçonnage, l’appel frauduleux se faisant passer pour un support technique, et le compte d’un salarié pris en main. Ces méthodes ne coûtent rien à l’attaquant, ce qui les rend rentables à n’importe quelle échelle, contrairement aux failles à plusieurs millions.
Faut-il activer le mode de verrouillage ?
Seulement pour des profils réellement exposés : journalistes, avocats, élus, dirigeants menacés. Ce mode désactive de nombreuses fonctions du téléphone pour réduire la surface d’attaque. Pour un usage professionnel courant, il dégrade l’expérience sans répondre à un risque réel.
Que faire concrètement ?
Installer les mises à jour dès leur publication, y compris les correctifs de sécurité rapides. C’est l’action qui protège le plus, puisque les failles publiquement corrigées sont celles que les attaquants ordinaires exploitent le plus vite.
- Apple, annonce de la refonte de son programme de primes, octobre 2025, présentée lors d’une conférence de sécurité à Paris, entrée en vigueur en novembre 2025.
- Grille de récompenses publiée par l’entreprise, montants par catégorie et conditions d’éligibilité.
- Chiffres communiqués par Apple : sommes versées depuis 2020 et nombre de chercheurs récompensés.
- Presse spécialisée française et internationale, couverture de l’annonce, octobre 2025.
- Déclarations d’Apple sur l’origine des attaques de niveau système observées en conditions réelles.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les chiffres publiés dans cet article sont vérifiés à leur source et datés. Pour aller plus loin : la supervision et les mises à jour, la sauvegarde et la sécurité ou le dépannage de serveur.
Vos mises à jour sont-elles appliquées ?
Le délai entre la publication d’un correctif et son exploitation se compte en jours. C’est la seule course qui vous concerne vraiment.