La combinaison MediaTek + Trustonic au cœur du problème
Les hackers éthiques de Ledger ont démontré la vulnérabilité sur un Nothing CMF Phone 1 en conditions réelles. L'attaque a permis d'extraire le code PIN, déchiffrer l'intégralité du stockage chiffré et vider plusieurs portefeuilles de cryptomonnaies en moins d'une minute. Le téléphone ciblé était complètement éteint au moment de l'attaque.
La faille exploite une architecture spécifique combinant deux éléments :
- Une puce MediaTek (processeur principal du smartphone)
- Un environnement d'exécution sécurisé (TEE) développé par Trustonic
Le TEE constitue normalement une zone isolée du processeur censée protéger les opérations les plus sensibles : vérification du code PIN, gestion des clés de chiffrement, stockage des identifiants biométriques. Cette isolation devrait théoriquement empêcher tout accès non autorisé, même en cas de compromission du système d'exploitation principal.
Mais les chercheurs ont découvert une faille dans la séquence de démarrage. Lorsque vous branchez votre smartphone éteint via USB, la puce MediaTek s'alimente automatiquement avant que les protections de sécurité ne se chargent complètement. Pendant cette fenêtre temporelle de quelques secondes, un attaquant peut injecter des commandes malveillantes pour contourner toutes les protections logicielles et accéder directement au stockage chiffré.
Les marques et modèles concernés par la vulnérabilité
L'ampleur de la faille dépasse largement un seul fabricant. Plus d'une dizaine de marques utilisent la combinaison MediaTek + Trustonic TEE dans leurs gammes milieu et entrée de gamme :
Smartphones Android touchés :
- Samsung : gamme Galaxy A complète et certaines tablettes Galaxy Tab
- Xiaomi : modèles Redmi et Poco équipés MediaTek
- Oppo et sous-marques (Realme, OnePlus série Nord certains modèles)
- Motorola : gamme Moto G et Edge milieu de gamme
- Honor : séries Honor X et Magic Lite
- HTC : modèles récents milieu de gamme
- Nothing : CMF Phone 1 et possiblement Phone (2a)
Autres appareils vulnérables : La faille ne se limite pas aux smartphones. Certains téléviseurs connectés et tablettes intégrant des puces MediaTek avec Trustonic TEE sont également exposés :
- Sony : téléviseurs Bravia sélectionnés et tablettes
- TCL, Hisense, Philips : téléviseurs Android TV milieu de gamme
Cette liste non exhaustive représente potentiellement plusieurs dizaines de millions d'appareils actuellement en circulation en France. Les modèles haut de gamme équipés de puces Qualcomm Snapdragon ou Google Tensor ne sont pas concernés par cette vulnérabilité spécifique.
Le calendrier des correctifs : entre réactivité et inquiétudes
MediaTek a réagi rapidement après la découverte de la faille. Le fabricant de puces a transmis un patch de sécurité aux constructeurs dès le 5 janvier 2026, soit deux mois avant la divulgation publique. Cette période de divulgation responsable devait permettre aux fabricants d'intégrer le correctif avant que les détails techniques ne deviennent publics.
La publication officielle de la vulnérabilité le 2 mars 2026 a laissé théoriquement suffisamment de temps aux constructeurs pour déployer les mises à jour de sécurité sur les modèles récents. Les utilisateurs possédant des smartphones encore sous support (généralement moins de 3-4 ans) devraient recevoir le patch via les mises à jour de sécurité Android de mars ou avril 2026.
Mais un problème majeur subsiste : les smartphones en fin de support ne recevront probablement jamais le correctif. Un appareil acheté il y a cinq ans, même s'il fonctionne parfaitement, ne bénéficie plus des mises à jour de sécurité de son fabricant. Ces millions d'appareils resteront vulnérables indéfiniment, créant un parc de téléphones exploitables.
Guide pratique : vérifier et se protéger efficacement
Vérifiez immédiatement si votre smartphone nécessite une mise à jour :
- Accédez aux Paramètres de votre téléphone Android
- Descendez jusqu'à À propos du téléphone ou Informations système
- Recherchez le niveau du correctif de sécurité Android
- Si la date affiche février 2026 ou antérieur, votre appareil est potentiellement vulnérable
- Retournez dans Paramètres > Système > Mise à jour logicielle
- Lancez une recherche manuelle de mise à jour
Si aucune mise à jour n'est disponible et que votre patch de sécurité date de plusieurs mois, contactez le support technique de votre fabricant pour connaître le calendrier prévu.
Mesures de protection immédiates à adopter :
- Évitez absolument les bornes de recharge USB publiques (aéroports, gares, centres commerciaux). La faille s'active précisément via une connexion USB malveillante. Privilégiez toujours votre propre chargeur branché sur une prise électrique standard ou utilisez une batterie externe de confiance.
- Ne laissez jamais votre téléphone sans surveillance dans des environnements à risque : contrôles douaniers, passages de sécurité, réparations en boutique non officielles. Les 45 secondes nécessaires à l'exploitation rendent l'attaque réalisable lors d'une simple inattention.
- Pour les détenteurs de cryptomonnaies : migrez immédiatement vers un wallet hardware dédié (Ledger, Trezor). Ne conservez jamais de montants importants dans une application mobile, même sécurisée. Les portefeuilles matériels isolent physiquement vos clés privées du smartphone vulnérable.
- Anticipez le remplacement des appareils en fin de support. Si votre smartphone a plus de quatre ou cinq ans et n'a pas reçu de mise à jour de sécurité depuis plusieurs mois, c'est le signal qu'il ne recevra probablement jamais le patch MediaTek. Dans ce cas, planifiez son remplacement dans les prochains mois par un modèle récent bénéficiant d'un support long terme.
- Relativisez le niveau de menace réel : cette faille, bien que sérieuse techniquement, nécessite un accès physique de 45 secondes à votre appareil déverrouillé ou éteint. Elle ne concerne pas le grand public victime de cyberattaques massives automatisées. Les cibles prioritaires sont les personnes transportant des données sensibles (professionnels, détenteurs crypto importants, journalistes, militants) dans des contextes à risque (voyages internationaux, zones de conflit, investigations).
La découverte de cette vulnérabilité rappelle surtout l'importance cruciale des mises à jour régulières et du remplacement périodique des smartphones pour maintenir un niveau de sécurité acceptable en 2026.
