Une nouvelle vulnérabilité frappe l’écosystème Android et elle n’a rien d’un simple bug technique sans conséquence. Baptisée Pixnapping, cette faille permet à une application malveillante d’espionner d’autres applications et de récupérer ce qui s’affiche à l’écran, y compris des informations haute sensibilité : messages privés, coordonnées bancaires, codes de double authentification. Le plus inquiétant n’est pas seulement l’existence de l’attaque, mais le fait que Google n’a pas encore complètement corrigé la faille, malgré une première tentative en septembre. La correction totale ne sera disponible qu’en décembre 2025.
Entre-temps, les smartphones Android – notamment Google Pixel, Samsung Galaxy, et potentiellement d’autres modèles – restent vulnérables. Et maintenant que la faille est publiquement documentée, les risques d’exploitation vont augmenter.
Sur Android, les applications sont cloisonnées. C’est la base de la sécurité du système : une application n’est pas censée pouvoir regarder ce que fait une autre. C’est ce principe qui protège vos conversations Signal, vos e-mails Gmail ou vos cartes enregistrées dans votre banque mobile.
Pixnapping vient casser ce modèle.
L’attaque permet à une application apparemment normale de lire les pixels affichés à l’écran, même lorsqu’il s’agit d’une autre application protégée. Elle ne demande pas l’autorisation de capture d’écran. Elle ne déclenche aucune alerte. Elle ne nécessite pas d’accès root. Elle ne modifie pas le système. Elle ne laisse aucun signe visible.
Ce n’est donc pas une attaque bruyante. C’est une attaque invisible.
Et ce que cela permet est extrêmement grave :
Autrement dit : si l’information apparaît sur l’écran, Pixnapping peut la capturer.
L’attaque ne se contente pas de prendre une capture d’écran classique. Les chercheurs ont exploité un comportement interne du GPU, le processeur graphique du smartphone. Ce dernier traite les images affichées à l’écran, et certaines informations transitoires peuvent être déduites à partir de la manière dont les pixels sont rendus.
L’app malveillante envoie alors des requêtes calculées au GPU, récupère les différences de rendu, les analyse, puis :
Tout cela sans avoir besoin de permission explicite.
C’est une attaque dite latérale, qui profite de la mécanique interne du système, et non d’un accès direct.
C’est ce qui la rend :
Et c’est ce qui explique pourquoi Google n’a pas encore réussi à la corriger totalement.
Google a essayé d’ajouter une limite à certaines requêtes graphiques dans le patch de septembre. En clair : l’idée était de ralentir ou de désynchroniser les données que l’app malveillante pouvait interroger.
Mais le groupe de chercheurs qui a découvert la faille a démontré, tests à l’appui, que cette solution pouvait être contournée sans difficulté majeure.
Les détails de contournement n’ont pas été publiés pour le moment – probablement pour éviter une exploitation massive avant décembre – mais ce n’est qu’une question de temps avant que des copies circulent sur des forums privés.
Le temps est donc le facteur critique.
Nous sommes dans une fenêtre de vulnérabilité active, avec une faille connue publiquement, mais pas encore corrigée.
Les cas confirmés concernent :
Mais tout appareil Android utilisant le même pipeline GPU est potentiellement vulnérable.
Cela inclut :
Ce n’est donc pas juste « une faille Pixel ».
C’est une faille Android systémique.
Aujourd’hui, Google dit ne pas avoir observé d’exploitation active.
Mais ce n’est pas la partie importante.
La partie critique est :
Maintenant que la faille est publique et que la date de correction est connue, les attaquants savent qu’ils disposent d’une période exploitable avant décembre.
Des cybercriminels opportunistes n’ont pas besoin d’inventer un nouvel exploit.
Ils doivent seulement :
C’est exactement ce qui s’est déjà produit avec des malwares bancaires Android par le passé.
A LIRE AUSSI Samsung renforce la sécurité de ses Galaxy S24 avec 26 correctifs critiques
Vous ne pouvez pas corriger la faille vous-même.
Mais vous pouvez neutraliser les vecteurs d’exploitation.
Les mesures à appliquer immédiatement :
Cela ne bloque pas Pixnapping techniquement.
Mais cela supprime la porte d’entrée : l’application malveillante.
Le danger, ce n’est pas le système Android en lui-même, c’est l’utilisateur qui installe l’application qui l’attaque.