Faille MediaTek sur Android :
ce que permet vraiment l’attaque en 45 secondes.

Le principe se comprend sans compétence technique, à condition de saisir ce qui se passe avant qu’un téléphone affiche son écran de déverrouillage.

Un smartphone ne démarre pas Android directement. Une chaîne de composants s’exécute d’abord : chacun vérifie le suivant, et chacun s’assure que le code qu’il lance est bien authentique. C’est ce qu’on appelle le démarrage sécurisé, et c’est la fondation sur laquelle repose tout le reste, y compris le chiffrement du stockage.

La faille se situe dans le préchargeur, l’un des premiers maillons de cette chaîne. Ce composant ne vérifie pas si l’interlocuteur qui lui adresse une requête est autorisé à le faire. Un outil connecté par le port de charge peut donc lui parler et obtenir des réponses, sans jamais passer par les mécanismes de protection que l’utilisateur connaît.

À partir de là, les chercheurs sont parvenus à récupérer des clés cryptographiques du système, puis à reconstituer le code PIN, à déchiffrer la mémoire interne et à en extraire des données : phrases de récupération de portefeuilles, mais aussi identifiants matériels comme les numéros de série. Le principe rappelle les compromissions qui visent une fondation technique plutôt qu’une application, mécanisme décrit dans notre article sur les attaques par la chaîne d’approvisionnement.

Voici l’élément qui détermine le niveau de risque réel, et que les titres alarmants passent généralement sous silence.

Cette attaque suppose d’avoir le téléphone en main et de le brancher physiquement. Il ne s’agit pas d’une vulnérabilité exploitable à distance : personne ne peut en tirer parti depuis Internet, par un message piégé ou par une application malveillante. Sans contact matériel avec l’appareil, elle n’a aucune portée.

Cette contrainte réduit considérablement le nombre de situations concernées, mais elle ne les supprime pas. Un téléphone volé ou perdu, un appareil confié à un réparateur, un contrôle administratif dans certains contextes, un passage prolongé hors de votre vue : toutes ces circonstances offrent la fenêtre nécessaire. Quarante-cinq secondes, c’est le temps d’un café.

Le risque se concentre donc sur des profils précis : les personnes détenant des actifs numériques de valeur sur leur téléphone, celles susceptibles d’être ciblées personnellement, et celles dont l’appareil contient des informations professionnelles sensibles. Pour un usage courant, la probabilité qu’un voleur d’opportunité dispose du matériel et de la compétence nécessaires reste faible.

Le traitement de cette vulnérabilité constitue un exemple de divulgation responsable bien menée, ce qui mérite d’être noté.

Après la découverte, Ledger a informé MediaTek et Trustonic en leur accordant le délai standard de quatre-vingt-dix jours pour préparer un correctif avant toute communication publique. Ce mécanisme vise à éviter qu’une faille soit connue des attaquants avant d’être corrigée.

MediaTek a tenu ce délai. Le correctif a été transmis aux fabricants de smartphones le 5 janvier 2026, et figure dans le bulletin de sécurité du fondeur de mars 2026. La faille n’a été rendue publique que le 2 mars, laissant environ deux mois aux constructeurs pour intégrer le correctif et le déployer.

Six mois se sont écoulés depuis. Un appareil bénéficiant encore du support de son fabricant et tenu à jour a normalement reçu le correctif via les bulletins de sécurité Android de mars ou avril 2026. La question qui demeure ne porte donc plus sur l’existence du remède mais sur sa distribution effective.

Cette affaire illustre une faiblesse structurelle qu’aucun correctif ne règle : la longueur de la chaîne qui sépare la publication d’un remède de son arrivée sur un appareil.

Le fondeur produit le correctif et le transmet au fabricant du téléphone. Celui-ci doit l’intégrer à sa propre surcouche logicielle, le tester sur chacun de ses modèles, puis le distribuer. Ce parcours prend des semaines pour les constructeurs les plus réactifs, des mois pour les autres, et n’aboutit jamais pour les appareils sortis du support.

Cette dernière catégorie constitue le vrai angle mort. Un téléphone d’entrée de gamme acheté il y a quatre ans peut fonctionner parfaitement tout en ne recevant plus aucune mise à jour de sécurité depuis longtemps. Son propriétaire n’en sait généralement rien, et aucun message ne l’en avertit. Le décalage entre la durée de vie matérielle et la durée de support logiciel laisse un parc considérable sans protection.

Ce mécanisme se retrouve dans tous les écosystèmes où plusieurs acteurs s’intercalent entre le correctif et l’utilisateur, comme nous le décrivions à propos des correctifs publiés par Microsoft cette année. La différence tient au nombre d’intermédiaires : un correctif système passe par un acteur, un correctif de composant mobile en traverse au moins trois.