Une alerte urgente a été lancée le 13 nov. après la découverte présumée d’une vulnérabilité de Telegram sur Android, susceptible d’exposer à un risque élevé les autres applications installées sur un appareil compromis.
L’alerte a été lancée après que la société de sécurité V12 a montré qu’un message de bot pouvait ouvrir de lui-même l’application Calculatrice d’un téléphone. C’est la preuve classique d’une exécution de code à distance (RCE) : un tiers fait exécuter à votre appareil des commandes qu’il ne devrait pas exécuter.
Que s’est-il vraiment passé ?
1. Le 9 nov. – Telegram lance les widgets
Telegram a permis aux bots d’envoyer des « widgets » — de petites applications intégrées à un message dans une discussion. Pensez aux jeux, aux sondages, aux mini-applications et aux paiements en Gram $TON via le portefeuille autonome de Telegram.
2. Le 11 novembre — La démo qui a choqué tout le monde
V12 a publié une vidéo montrant un message de bot ouvrant de lui-même l’application Calculatrice d’Android. V12 n’a pas expliqué comment fonctionne l’attaque, et aucune partie indépendante ne l’a encore confirmée.
Selon les rapports, le problème viendrait d’un bug mémoire dans le moteur de widgets de Telegram : une fonction JavaScript malformée pourrait corrompre la mémoire et permettre à un widget de sortir de son bac à sable.
3. Du 11 au 13 novembre — Telegram annonce que le problème est corrigé
Telegram a déclaré que le problème dans Telegram pour Android avait été corrigé et que la mise à jour avait été déployée auprès de tous les utilisateurs. Le correctif a été intégré à Telegram pour Android 13.2.2, qui a déplacé le code des widgets vers un processus isolé distinct.
Mais un correctif ne vous protège que si vous l’installez. C’est pourquoi l’avertissement était urgent.
Quelles conséquences pour votre sécurité ?
La plupart des gens se disent : « Ce n’est que Telegram, mon argent est sur ma plateforme d’échange. »
Ce n’est pas comme ça que ça marche.
1. Compromission de l’appareil = compromission des applications
Dès lors qu’un attaquant peut exécuter du code sur votre téléphone, il ne se limite plus à Telegram. En théorie, il peut essayer de :
- Lire les jetons de session qui vous maintiennent connecté aux applications. La 2FA ne protège PAS une session déjà ouverte
- Accéder aux fichiers, aux photos et au presse-papiers — où beaucoup de gens conservent encore leurs phrases de récupération
- Voler des données provenant d’autres applications sur le même appareil
2. Les utilisateurs de cryptos sont des cibles idéales
Telegram est au cœur de l’univers crypto : groupes de trading, bots d’airdrop, vendeurs P2P, bots de « support ». Les attaquants savent que les utilisateurs de cryptos cliqueront sur « Démarrer » pour lancer un bot. Dans la démo de V12, l’utilisateur devait cliquer sur « Démarrer » dans une conversation avec un bot — le code s’est alors exécuté.
Et comme le portefeuille Telegram est en auto-garde, un transfert ne peut pas être annulé.
3. C’est le deuxième incident inquiétant lié à Android chez Telegram en un mois
Le 29 octobre, la société NebuSec a révélé une faille de corruption mémoire dans les appels vocaux et vidéo de Telegram. Il suffisait que la victime réponde à un appel. Telegram a déclaré que la faille avait déjà été corrigée dans la version 12.10.4.
Deux fonctionnalités différentes, une même leçon : nouvelles fonctionnalités = nouvelles surfaces d’attaque.
La controverse
Le 13 novembre, le fondateur de Telegram, Pavel Durov, a déclaré que la faille « n’existait pas » telle qu’elle était décrite et a défié les pirates de s’attaquer à son propre compte. Selon lui, la simple réception d’un message ne suffisait pas.
Contexte important :
- Aucun identifiant CVE n’a été attribué
- Aucune attaque dans la nature n’a été confirmée
- V12 n’a publié aucune preuve technique complète
Il s’agit donc d’un problème signalé ou démontré, mais dont l’exploitation réelle n’a pas encore été prouvée. Cela ne signifie pas pour autant que vous devriez l’ignorer.
Ce que vous devez faire MAINTENANT — 5 étapes
1. Mettez Telegram pour Android à jour vers la version 13.2.2 ou une version plus récente via Google Play. N’installez pas d’APK provenant d’autres sources.
2. Ne lancez pas de bots inconnus. Méfiez-vous particulièrement des bots qui promettent des airdrops, des cryptos gratuites ou de « vérifier votre portefeuille ».
3. N’ouvrez pas les conversations contenant de nombreux widgets avant d’avoir effectué la mise à jour.
4. Ne conservez pas vos phrases de récupération sur votre téléphone. Pas de captures d’écran, pas dans l’app Notes, pas dans les Messages enregistrés de Telegram.
5. Vérifiez vos sessions : Telegram > Paramètres > Appareils, puis déconnectez les sessions inconnues. Faites de même dans vos applications d’échange.
En bref
Dans le monde des cryptos, votre téléphone EST votre banque.
Et lorsque votre banque, votre portefeuille, votre application 2FA et votre messagerie se trouvent tous sur un seul appareil, une vulnérabilité dans une seule application peut devenir une vulnérabilité dans toutes les autres.
Faites la mise à jour maintenant. Ne cliquez pas sur « Démarrer » pour les bots auxquels vous ne faites pas confiance. Et ne considérez jamais Telegram comme un endroit sûr où conserver vos clés.
La sécurité avant tout, c’est simple comme bonjour. Restez SAFU.
Aimez, partagez et suivez-moi pour en savoir plus.