Les précommandes de l’iPhone Duo n’ouvrent que le 16 octobre 2026, mais de fausses boutiques tentent déjà d’attirer les futurs acheteurs. L’une d’elles est beaucoup plus dangereuse qu’un simple formulaire destiné à récupérer une adresse e-mail ou un numéro de téléphone.
Des chercheurs de Malwarebytes ont découvert une fausse page reproduisant l’apparence d’Apple et utilisant la chaîne d’exploitation DarkSword contre certains iPhone qui n’ont pas été correctement mis à jour.
Le point le plus inquiétant est simple : sur un appareil vulnérable, il n’est pas nécessaire de télécharger une application ni même de remplir le formulaire. L’ouverture de la page suffit à déclencher la tentative d’attaque.
La fausse offre promet 500 dollars de réduction sur l’iPhone Duo
La page découverte par Malwarebytes cherche d’abord à paraître crédible.
Elle reprend le logo et l’apparence générale du site d’Apple, va jusqu’à afficher une mention de copyright Apple et promet un bon de réduction de 500 dollars présenté comme une offre réservée à un partenaire agréé.
La victime est invitée à sélectionner son prétendu iPhone Duo puis à saisir son nom, son adresse e-mail et son numéro de téléphone.
Plusieurs indices permettent pourtant de repérer la fraude.
Le site propose notamment des tailles et des coloris qui ne correspondent pas à la gamme réellement présentée par Apple. Son compte à rebours redémarre également lorsque la page est rechargée et plusieurs liens juridiques affichés dans le pied de page ne fonctionnent pas.
Mais l’indice le plus simple est aussi le plus important : Apple n’a pas encore ouvert les précommandes.
Menow a justement détaillé aujourd’hui le calendrier officiel de précommande de l’iPhone Duo. Il sera possible de préparer sa commande à partir du 12 octobre, mais la validation réelle des précommandes n’interviendra que le vendredi 16 octobre à 14 heures en France.
Une page qui prétend vous vendre officiellement l’iPhone Duo plusieurs semaines avant cette date doit donc immédiatement éveiller les soupçons.
Le formulaire n’est même pas le véritable piège
C’est ce qui rend cette campagne particulièrement intéressante sur le plan de la sécurité.
Dans l’exemplaire analysé par Malwarebytes, le formulaire de précommande n’envoyait même pas les données saisies comme on pourrait s’y attendre avec une campagne classique de phishing.
Il affichait simplement un faux message confirmant la précommande.
Pendant ce temps, l’attaque avait déjà commencé en arrière-plan.
La page vérifie notamment le navigateur et la version d’iOS utilisée. Elle tente de diriger les utilisateurs d’iPhone vers Safari, puis charge différents éléments de la chaîne d’exploitation DarkSword selon l’environnement détecté.
Il s’agit d’une différence majeure par rapport à une arnaque classique.
Habituellement, la victime doit effectuer une action : saisir un mot de passe, télécharger un fichier ou installer une application.
Ici, sur un appareil réellement vulnérable, la simple consultation du site peut suffire à lancer la tentative d’exploitation.
Que peut récupérer l’attaque si elle réussit ?
Le code analysé par Malwarebytes cherche d’abord à obtenir des informations sur l’appareil et les applications installées.
Il tente ensuite d’accéder à des données beaucoup plus sensibles, notamment les Notes Apple et certains identifiants conservés dans le trousseau de l’iPhone.
Les chercheurs ont également identifié du code visant plusieurs portefeuilles de cryptomonnaies :
- MetaMask ;
- Phantom ;
- Trust Wallet ;
- Coinbase Wallet ;
- Exodus ;
- Tonkeeper.
Si certaines conditions sont réunies, le logiciel malveillant tente de récupérer des fichiers liés aux portefeuilles, des données du trousseau ainsi que des miniatures de photos.
Et la collecte potentielle ne s’arrête pas là.
Le code étudié cherche également des données associées aux messages, contacts, appels, messages vocaux, e-mails, calendriers et informations de localisation mises en cache.
Malwarebytes apporte néanmoins une précision essentielle : les chercheurs ont analysé le code capturé, mais n’ont pas testé eux-mêmes l’attaque sur un iPhone et n’ont pas observé directement l’exfiltration de ces données depuis un appareil infecté.
Il faut donc distinguer ce que le code tente de réaliser de ce qui a été observé sur des victimes réelles.
Tous les iPhone ne sont pas vulnérables
C’est probablement l’information la plus importante pour éviter une inquiétude inutile.
La page s’appuie sur des éléments correspondant à DarkSword, une chaîne d’exploitation dont plusieurs vulnérabilités avaient déjà été documentées par Google au mois de mars.
Apple a depuis corrigé les failles signalées.
Malwarebytes précise que l’étendue exacte des versions d’iOS vulnérables à cette page particulière n’a pas été confirmée. Une variante de DarkSword précédemment étudiée concernait notamment des versions d’iOS 18.4 à 18.6.2, mais il ne faut pas en déduire que tous les appareils utilisant ces versions aujourd’hui sont attaquables par cette campagne précise.
Surtout, un iPhone correctement mis à jour bénéficie des correctifs diffusés par Apple contre les attaques DarkSword déjà signalées.
Ce sont donc principalement les iPhone restés sur d’anciennes versions du système qui demandent davantage de vigilance.
Vous avez ouvert une page de ce type ? Voici les premières choses à faire
La priorité est de vérifier immédiatement la version du système depuis :
Réglages > Général > Mise à jour logicielle.
Installez la dernière mise à jour proposée par Apple et activez les mises à jour automatiques si elles étaient désactivées.
Malwarebytes recommande également de redémarrer l’iPhone après sa mise à jour lorsqu’une personne pense avoir ouvert cette fausse page. Les chercheurs n’ont pas identifié dans le code analysé de mécanisme permettant au logiciel malveillant de se relancer automatiquement après un redémarrage.
Attention : un redémarrage ne peut évidemment pas récupérer des données qui auraient déjà été dérobées.
Si l’iPhone concerné contenait un portefeuille de cryptomonnaies ou des comptes particulièrement sensibles, les mots de passe devraient être modifiés depuis un autre appareil considéré comme sûr. Les comptes de messagerie, Apple, bancaires et liés aux cryptomonnaies sont à traiter en priorité.
Pour l’iPhone Duo, une règle très simple permet d’éviter le piège
L’iPhone Duo suscite beaucoup d’intérêt parce qu’il constitue le premier smartphone pliable commercialisé par Apple. Menow a déjà comparé l’iPhone Duo et l’iPhone 18 Pro sur leurs différences en photo, mais son lancement attire logiquement aussi les fraudeurs.
Jusqu’au 16 octobre, aucune page prétendant finaliser immédiatement une précommande officielle ne doit être considérée comme normale.
Et même après cette date, le plus sûr reste de ne pas utiliser un lien reçu au hasard par SMS, e-mail, publicité ou réseau social.
Ouvrez directement l’Apple Store ou le site du revendeur auquel vous faites confiance.
Dans cette campagne particulière, ce petit réflexe est d’autant plus important que le danger ne commence pas au moment où l’on communique ses coordonnées : sur un ancien iPhone vulnérable, il peut commencer dès l’ouverture du faux site.
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
