Imaginez-vous en pleine visioconférence. Vous partagez un écran, vous annotez un document, vous discutez sereinement avec un collègue ou un investisseur. Rien ne semble anormal. Pourtant, à l’autre bout de la ligne, quelqu’un vient de prendre le contrôle total de votre machine. Sans que vous cliquiez sur quoi que ce soit. Sans téléchargement. Sans alerte visible. C’est exactement ce que permet un ensemble de failles récemment révélées dans Zoom, baptisé Zoomsday par les chercheurs qui l’ont découvert. Pour les utilisateurs de cryptomonnaies, déjà régulièrement ciblés lors de réunions en ligne, cette découverte change la nature même de la menace.
Une faille zero-clic qui redéfinit le danger des réunions virtuelles
Le principe est d’une simplicité glaçante. Les vulnérabilités se trouvent dans le système d’annotation de Zoom, cette fonctionnalité qui permet de dessiner ou d’ajouter des notes sur un contenu partagé. En envoyant des données malveillantes soigneusement formatées, un attaquant présent dans la même réunion peut déclencher l’exécution de code arbitraire sur l’appareil d’un autre participant. Windows, macOS, Linux, Android et iOS sont tous concernés. L’attaque fonctionne dans les deux sens : un présentateur compromis peut toucher les participants, et un simple participant peut cibler le présentateur.
Ce qui rend Zoomsday particulièrement redoutable, c’est l’absence totale d’interaction requise de la part de la victime. Pas de lien à cliquer, pas de fichier à ouvrir, pas de mise à jour à accepter. Une fois le code en place, l’attaquant peut dérober des données personnelles, activer la caméra ou le micro, ou installer un logiciel malveillant plus sophistiqué. Le tout sans qu’aucune notification n’apparaisse à l’écran. Pour quelqu’un qui garde des clés privées, des seed phrases ou des accès à des exchanges sur son ordinateur, les conséquences sont immédiates et potentiellement irréversibles.
Comment l’intelligence artificielle a accéléré la découverte
L’élément le plus troublant de cette affaire n’est peut-être pas la faille elle-même, mais la vitesse à laquelle elle a été trouvée et exploitée. Selon les chercheurs d’A Security, une seule journée a suffi. Moins de vingt prompts adressés à des modèles d’intelligence artificielle publics ont permis d’identifier trois vulnérabilités distinctes et de construire un exploit fonctionnel. Les identifiants CVE-2026-53413, CVE-2026-53414 et CVE-2026-53415 ont ensuite été attribués.
Cette rapidité illustre un changement de paradigme. Là où un chercheur humain mettait parfois des semaines à cartographier une surface d’attaque complexe, les modèles de langage actuels peuvent explorer le code, formuler des hypothèses et tester des chemins d’exploitation en quelques heures. Ce n’est pas la première fois que l’IA montre sa capacité à accélérer la recherche de failles. Des expériences antérieures, notamment sur de grands navigateurs, avaient déjà démontré que des centaines de vulnérabilités pouvaient être signalées en un temps record. Zoomsday confirme que cette capacité s’applique désormais aux applications de visioconférence largement utilisées.
Les chercheurs eux-mêmes qualifient ces exploits d’armes. Ils soulignent que les gouvernements réglementent leur exportation et que des organisations criminelles sont prêtes à payer des millions pour y accéder. Quand la barrière technique baisse grâce à l’IA, le nombre d’acteurs capables de produire de telles armes augmente mécaniquement. Pour les détenteurs de crypto, déjà dans le collimateur de groupes sophistiqués, cela signifie que la fenêtre entre la découverte d’une faille et son exploitation réelle se réduit dangereusement.
Pourquoi les utilisateurs de cryptomonnaies sont particulièrement exposés
Les attaques par visioconférence ne sont pas nouvelles dans l’écosystème crypto. Depuis plusieurs années, des campagnes répétées ciblent fondateurs, développeurs, investisseurs et dirigeants. Le schéma classique reposait jusqu’ici sur une chaîne de social engineering : compromission d’un compte Telegram d’un contact de confiance, invitation à une réunion Zoom ou Teams, apparition d’un deepfake de la personne connue, puis création d’un faux problème technique pour pousser la victime à installer un « correctif » malveillant.
Plusieurs affaires médiatisées ont illustré ce mode opératoire. Un co-fondateur de protocole a perdu environ 1,3 million de dollars après avoir rejoint une réunion qui semblait légitime. Un script a commencé à copier des fichiers depuis son dossier iCloud vers un répertoire temporaire. D’autres dirigeants ont raconté avoir été invités par un contact professionnel dont le compte avait été pris, puis orientés vers une fausse mise à jour Zoom. Dans certains cas, les pertes se chiffrent en centaines de millions de dollars à l’échelle d’une campagne coordonnée attribuée à des acteurs étatiques.
Zoomsday supprime l’une des dernières étapes de friction de ces scénarios. Il n’est plus nécessaire de convaincre la victime d’installer quelque chose. Il suffit qu’elle soit présente dans la même réunion qu’un attaquant. La simple participation devient un vecteur d’infection. Pour une industrie où les montants en jeu sont souvent colossaux et où les décisions se prennent parfois lors de calls improvisés, cette évolution est majeure.
Les portefeuilles logiciels, les fichiers de configuration d’exchanges, les captures d’écran de seed phrases, les mots de passe stockés en clair ou dans des gestionnaires mal protégés : tout cela devient accessible dès que le code malveillant s’exécute. Même un hardware wallet peut être compromis indirectement si les transactions sont préparées sur une machine infectée ou si les phrases de récupération sont accessibles.
Chronologie de la divulgation et des correctifs
Les chercheurs ont découvert la première vulnérabilité le 8 juin et l’ont signalée deux jours plus tard. Le processus de divulgation responsable s’est déroulé pendant plusieurs semaines. Zoom a publié des correctifs entre le 22 juin et le 20 juillet. Une protection côté serveur a également été mise en place pour bloquer certains messages malveillants. Cependant, cette protection ne peut pas inspecter le contenu des réunions chiffrées de bout en bout. Les utilisateurs qui n’ont pas mis à jour leur application client restent donc exposés.
Parallèlement, un autre bulletin de sécurité de juillet a signalé une vulnérabilité critique d’une autre nature, liée à une validation d’entrée incorrecte dans Zoom Workplace pour Windows. Celle-ci pouvait permettre une prise de contrôle de compte par un attaquant non authentifié via le réseau. L’écosystème Zoom a donc connu plusieurs alertes successives, ce qui renforce l’importance de maintenir les applications à jour.
Il est crucial de comprendre que les correctifs côté serveur ne suffisent pas. Tant que le client reste en version vulnérable, le chemin d’attaque via l’annotation reste ouvert dans certains contextes. Les utilisateurs doivent donc vérifier manuellement la version installée et forcer la mise à jour si nécessaire. Sur mobile comme sur desktop, le processus est généralement simple, mais encore faut-il y penser.
Les limites des protections traditionnelles face à ce type d’attaque
Beaucoup d’utilisateurs crypto s’appuient sur des réflexes de sécurité classiques : ne jamais cliquer sur des liens suspects, vérifier l’identité de l’interlocuteur par un second canal, refuser les mises à jour proposées pendant un call. Ces précautions restent indispensables, mais elles deviennent insuffisantes face à un exploit zero-clic. La question n’est plus « ai-je cliqué ? » mais « étais-je dans la même réunion qu’un acteur malveillant ? ».
Les réunions avec des personnes peu connues, les appels improvisés, les conférences ouvertes à de nombreux participants, les meetings où l’on active le partage d’écran ou l’annotation : tous ces contextes élargissent la surface d’attaque. Même un participant silencieux peut théoriquement envoyer les données nécessaires au déclenchement de la faille. La confiance dans le simple fait d’être « entre gens de confiance » s’érode.
Les solutions de visioconférence alternatives ne sont pas forcément épargnées. Toute application qui traite des données complexes en temps réel, qui permet l’annotation ou le partage de contenu riche, et qui s’exécute avec des privilèges élevés sur le système d’exploitation, présente potentiellement des surfaces d’attaque similaires. Zoomsday est un cas concret, pas forcément un cas unique.
Impact sur les pratiques quotidiennes des équipes crypto
Les équipes de développement, les fonds d’investissement, les protocoles DeFi et les bourses doivent revoir leurs protocoles de communication. Plusieurs mesures concrètes s’imposent. D’abord, imposer la mise à jour systématique de Zoom (ou de tout autre outil de visioconférence) avant chaque réunion sensible. Ensuite, limiter le partage d’écran et l’annotation aux cas strictement nécessaires. Utiliser des salles d’attente et des contrôles d’admission stricts. Vérifier l’identité des participants par un canal indépendant, même si le visage et la voix semblent familiers.
Pour les opérations critiques, certaines équipes commencent à séparer physiquement les machines. Un ordinateur dédié aux réunions, sans accès aux portefeuilles ni aux clés, et un autre machine air-gapped ou fortement isolée pour les opérations de signature. Cette hygiène de compartimentation, déjà recommandée depuis longtemps, devient encore plus pertinente.
Les deepfakes audio et vidéo ajoutent une couche supplémentaire de complexité. Même si Zoomsday n’en a pas besoin pour fonctionner, la combinaison d’un exploit zero-clic et d’une usurpation d’identité visuelle rend les attaques encore plus crédibles. Un deepfake de qualité moyenne suffit souvent à faire baisser la garde pendant les premières minutes d’un call.
Le rôle croissant de l’IA dans la recherche offensive et défensive
Zoomsday n’est pas seulement une faille Zoom. C’est aussi un signal sur l’évolution de la recherche en sécurité. Les modèles de langage capables d’analyser du code, de formuler des hypothèses d’exploitation et de générer des preuves de concept réduisent le temps nécessaire pour passer de la curiosité à l’arme opérationnelle. Cette accélération profite aussi bien aux chercheurs en sécurité éthique qu’aux acteurs malveillants.
Du côté défensif, les mêmes outils peuvent être utilisés pour auditer plus rapidement de grands codebases, pour générer des tests de fuzzing plus intelligents, ou pour détecter des patterns suspects dans le trafic. La course est engagée. Les équipes de sécurité des éditeurs de logiciels devront intégrer l’IA dans leurs pipelines de revue de code et de tests de pénétration s’ils veulent rester en avance sur les attaquants qui le font déjà.
Pour les utilisateurs finaux, cette dualité signifie qu’il faut s’attendre à voir davantage de failles critiques découvertes et corrigées à un rythme plus soutenu. Mais aussi que la période pendant laquelle une vulnérabilité reste exploitable avant le patch généralisé peut se raccourcir… ou s’allonger si les correctifs ne sont pas déployés rapidement par les utilisateurs.
Conseils concrets pour réduire le risque dès maintenant
La première action est simple et urgente : vérifier la version de Zoom installée et la mettre à jour si elle est antérieure aux correctifs de juin-juillet. Sur desktop, l’application propose généralement une option de mise à jour dans le menu. Sur mobile, le store d’applications doit afficher la dernière version disponible. Ne pas se contenter de la mise à jour automatique : forcer une vérification manuelle.
Ensuite, adopter une posture de méfiance raisonnable lors de toute réunion. Désactiver l’annotation si elle n’est pas indispensable. Éviter de rejoindre des meetings dont l’origine n’est pas clairement établie. Utiliser un second canal (message chiffré, appel vocal séparé) pour confirmer l’identité des participants importants. Ne jamais stocker de seed phrases, de clés privées ou de fichiers sensibles en clair sur une machine utilisée pour les visioconférences.
Pour les montants importants, envisager une machine dédiée aux opérations crypto, isolée autant que possible du réseau et des applications de communication. Les hardware wallets restent une protection essentielle, mais ils ne protègent pas contre le vol de phrases de récupération ou contre la signature de transactions malveillantes préparées sur une machine compromise.
Enfin, rester informé des bulletins de sécurité des outils que l’on utilise quotidiennement. Zoom publie régulièrement des avis. D’autres plateformes de visioconférence en font autant. Le temps où l’on pouvait ignorer les mises à jour pendant des mois est révolu, surtout lorsqu’on manipule des actifs numériques de valeur.
Une menace qui s’inscrit dans un contexte plus large
Zoomsday s’ajoute à une longue liste d’attaques qui exploitent la confiance inhérente aux interactions humaines à distance. Les campagnes de phishing sophistiquées, les malwares distribués via des messages de contacts compromis, les deepfakes utilisés pour confirmer des transferts : tout cela fait partie du même continuum. La visioconférence n’est qu’un canal parmi d’autres, mais un canal particulièrement riche en données et en privilèges système.
L’industrie crypto a déjà payé un lourd tribut à ces techniques. Des centaines de millions de dollars ont disparu dans des opérations coordonnées. Des carrières ont été impactées, des projets ralentis, des réputations entachées. Chaque nouvelle faille zero-clic rappelle que la sécurité n’est jamais un état acquis, mais un processus permanent d’adaptation.
Les éditeurs de logiciels portent une responsabilité importante. La rapidité de la correction de Zoomsday est un point positif. Mais la découverte de failles critiques dans des fonctionnalités de base comme l’annotation montre aussi que la surface d’attaque des applications modernes reste vaste. Les utilisateurs, de leur côté, doivent accepter que la commodité a un prix et que certaines fonctionnalités « pratiques » augmentent le risque.
Perspectives et vigilance pour les mois à venir
Il est probable que d’autres failles similaires soient découvertes dans les mois qui viennent, que ce soit dans Zoom ou dans des applications concurrentes. L’usage croissant de l’IA par les chercheurs, éthiques ou non, va multiplier les découvertes. Les groupes qui ciblent spécifiquement les détenteurs de crypto vont intégrer ces nouvelles techniques dès qu’elles deviennent disponibles.
La meilleure défense collective reste la culture de la mise à jour rapide, la compartimentation des machines, la vérification multi-canal des identités, et le refus systématique d’exécuter quoi que ce soit pendant une réunion. Ces réflexes, combinés à une hygiène de base (mots de passe uniques, authentification à deux facteurs, hardware wallets), réduisent considérablement la surface d’attaque même face à des exploits sophistiqués.
Zoomsday n’est pas une apocalypse. C’est un rappel brutal. Les outils que nous utilisons tous les jours pour collaborer, négocier et construire peuvent aussi devenir des portes d’entrée silencieuses. Pour ceux qui manipulent des actifs numériques, la leçon est claire : chaque réunion est désormais un potentiel point de contact avec un adversaire, et la seule protection fiable commence par un client à jour et une machine qui ne contient pas l’ensemble de ses secrets.
En attendant les prochains bulletins de sécurité, la priorité absolue reste simple. Ouvrez Zoom. Vérifiez la version. Mettez à jour. Puis réfléchissez à la façon dont vous organisez vos prochains appels. La sécurité n’est jamais spectaculaire. Elle est faite de gestes répétitifs et de décisions prudentes. Face à un exploit zero-clic, ces gestes font toute la différence entre une réunion banale et une perte potentiellement dévastatrice.
Les utilisateurs avertis savent déjà que la paranoïa raisonnable est devenue une compétence professionnelle dans l’écosystème crypto. Zoomsday ne fait que renforcer cette évidence. Reste à transformer cette prise de conscience en routines concrètes, jour après jour, call après call. Car la prochaine faille, elle, pourrait déjà être en cours de découverte quelque part, alimentée par les mêmes outils d’intelligence artificielle qui ont permis de mettre au jour celle-ci en moins de vingt-quatre heures.
La vigilance n’est pas une option. C’est désormais le prix d’entrée pour participer sereinement à l’économie numérique décentralisée. Et ce prix, aussi ennuyeux soit-il à payer, reste infiniment inférieur à celui d’un portefeuille vidé en silence pendant une réunion qui semblait pourtant tout à fait ordinaire.
