Comment vérifier si votre smartphone est infecté par Pegasus en 2026

Pegasus et ses équivalents, que l’on appelle « logiciels espions mercenaires », ne sont pas des virus diffusés en masse. Ils sont vendus à des États et déployés contre des cibles choisies : journalistes, défenseurs des droits humains, avocats, opposants, responsables politiques.

Un téléphone lent, une batterie qui chauffe ou une publicité intrusive ne sont pas des signes de Pegasus : ces infections sont conçues pour passer inaperçues. Si votre activité ne vous expose pas particulièrement, les bonnes pratiques classiques (mises à jour, applications officielles, méfiance envers les liens reçus) suffisent largement.

Apple prévient les personnes qu’elle pense visées individuellement par un logiciel espion mercenaire. La notification de menace arrive de trois façons : une alerte sur l’écran verrouillé et dans les Réglages de l’iPhone, un e-mail envoyé aux adresses du compte Apple, et une bannière en haut de la page account.apple.com après connexion.

Méfiez-vous des imitations : une vraie notification ne vous demande jamais de mot de passe ni de code, ni de cliquer sur un lien ou d’installer une application. Pour vous en assurer, connectez-vous vous-même à account.apple.com et vérifiez la présence de la bannière.

Apple recommande alors de faire appel à des spécialistes, notamment la Digital Security Helpline de l’ONG Access Now, joignable 24 heures sur 24.

Le Mode Isolement (Lockdown Mode) réduit volontairement les fonctions de l’appareil pour fermer les portes d’entrée qu’exploitent ces attaques. Il est disponible depuis iOS 16, iPadOS 16 et macOS Ventura.

Pour l’activer sur iPhone : Réglages > Confidentialité et sécurité > Mode Isolement, puis Activer le Mode Isolement et redémarrez. Sur Mac, le réglage se trouve au même endroit dans Réglages Système.

Le prix à payer est un certain inconfort : la plupart des pièces jointes sont bloquées dans Messages, certaines technologies web sont désactivées (les sites peuvent s’afficher plus lentement), les appels FaceTime de personnes inconnues sont filtrés et l’appareil ne rejoint plus les réseaux Wi-Fi non sécurisés. Les appels et SMS classiques, eux, fonctionnent normalement.

L’application iVerify Basic, de la société américaine iVerify, propose une analyse accessible sans compétences techniques. Elle coûte environ 1 dollar sur iPhone et Android.

Le principe : vous générez un journal de diagnostic depuis votre téléphone, puis vous le partagez avec l’application, qui l’envoie pour analyse aux serveurs d’iVerify. Ce contrôle est limité à une analyse tous les 90 jours dans la version Basic.

Gardez en tête qu’il s’agit d’un service commercial : vos journaux quittent votre appareil, et un résultat négatif ne garantit pas l’absence d’infection.

Le Mobile Verification Toolkit (MVT), créé par le Security Lab d’Amnesty International, reste l’outil de référence. Il s’utilise en ligne de commande sur un ordinateur : prévoyez un peu de temps et de patience.

• Mac : installez Xcode et Homebrew, puis les dépendances avec brew install python3 pipx libusb sqlite3.
• Linux : installez Python (3.10 ou plus récent), pipx, sqlite3 et libusb avec votre gestionnaire de paquets.
• Windows : il n’est pas pris en charge directement ; passez par le sous-système Linux (WSL).

Installez ensuite l’outil avec pipx install mvt. Trois commandes deviennent disponibles : mvt, mvt-ios et mvt-android.

Commencez par une sauvegarde chiffrée de l’iPhone sur un ordinateur, avec le Finder sur Mac ou l’appareil Apple / iTunes sous Windows. Le chiffrement est indispensable : il inclut davantage de données utiles à l’analyse.

Déchiffrez ensuite cette sauvegarde avec MVT :

mvt-ios decrypt-backup -d ~/mvt/dechiffre /chemin/vers/la/sauvegarde

Puis lancez l’analyse en lui fournissant un fichier d’indicateurs de compromission (format STIX2), comme ceux publiés par Amnesty et d’autres chercheurs :

mvt-ios check-backup --iocs indicateurs.stix2 --output ~/mvt/resultats ~/mvt/dechiffre

MVT extrait les données dans des fichiers JSON. Toute correspondance avec un indicateur s’affiche dans le terminal et est enregistrée dans un fichier portant le suffixe _detected.

Sur Android, MVT recommande désormais de collecter les données avec AndroidQF, un outil distinct qui produit une extraction standardisée, puis de l’analyser avec mvt-android check-androidqf. L’ancienne méthode par connexion ADB directe a été retirée de MVT.

Soyez conscient des limites : Android offre moins de sources de données exploitables qu’iOS, et les journaux varient selon les versions et les fabricants. Une analyse Android est donc moins concluante.