// CLUBIC — CYBERSECURITY
Ce ver pouvait pirater votre compte WeChat pendant que votre téléphone sonnait
Une entreprise américaine de cybersécurité a conçu un ver informatique capable de prendre le contrôle d'un compte WeChat dès que le téléphone de la victime sonne, sans qu'elle décroche. Tencent, propriétaire de WeChat, a corrigé la faille fin août. D'anciens spécialistes du renseignement américain redoutent désormais une escalade dans le cyberespace.
Si vous utilisez WeChat, vous pourriez donner l'accès à votre compte sans faire le moindre clic, juste via un appel manqué d'un contact piraté.
Des chercheurs de la société Calif ont reproduit ce scénario cet été, en conditions contrôlées. La société est plus habituée aux test de solidité des défenses numériques pour le compte de grandes entreprises technologiques.
Ceci dit, son équipe a mis au point WeWorm. Ce ver exploite une faille de mémoire dans le système d'appels vocaux de WeChat. Il prend le contrôle du compte visé pendant la sonnerie, avant même que la victime ne réponde. Le compte détourné appelle ensuite les contacts de la victime. Ceux-ci sont infectés à leur tour, et la contagion se propage de proche en proche.
WeChat compte 1,4 milliard d'utilisateurs actifs par mois, principalement en Chine et dans les communautés chinoises de la diaspora.
La faille a été repérée mi-juillet. L'équipe de recherche a alerté Tencent 10 jours plus tard, puis a construit un premier exploit fonctionnel sur Android moins d'une semaine après, à la fin du mois et début août pour iOS.
Le ver complet était opérationnel le 11 août et pouvait alors se propager de compte en compte sans intervention humaine. Pour accélérer chaque étape, les chercheurs de Calif ont eu recours à plusieurs modèles d'intelligence artificielle. Ils ont néanmoins choisi eux-mêmes les cibles et vérifié chaque résultat produit par ces outils avant de l'intégrer à l'exploit.
Cette entreprise consacre une partie de son activité à la recherche de vulnérabilités dans les systèmes d'intelligence artificielle. Elle publie ensuite librement ses résultats, sans mandat d'aucun gouvernement. Tencent a corrigé le problème le 28 août, à la fois dans l'application et sur ses serveurs, avant toute divulgation publique.
L'entreprise indique n'avoir constaté aucune preuve qu'un compte réel ait été compromis. La réputation sécuritaire de WeChat est néanmoins fragile. Comme on vous en avait parlé dans un article sur les tentatives de phishing qui redirigent vers l'application, leur part dans les e-mails frauduleux détectés est passée de 0,04 % à un pic de 5,1 % en novembre 2025.
« Le ver WeChat est un incident extrêmement grave », a publié sur son compte X.com Ryan Fedasiuk, chercheur en politique de l'intelligence artificielle, qui affirme n'avoir vu aucune preuve que l'opération ait été autorisée par le gouvernement américain. Le journaliste Dustin Volz a rapporté, de son côté, les propos de Vinh Nguyen, ancien scientifique en chef des données à la NSA. Ce ver représentait, d'après lui, l'une des cyberattaques les plus préoccupantes qu'il ait jamais vues, et pouvait toucher des centaines de millions d'appareils en quelques heures.