Peut-on voler vos photos par SMS ? Les vrais risques
Non, un SMS ne peut pas « atteindre » votre téléphone et voler vos photos. SMS/MMS sont des **protocoles de livraison** — ils transportent le contenu que *vous choisissez* d'envoyer. Ils n'ont pas d'« accès en lecture » à votre galerie. Mais les SMS **peuvent être le vecteur d'attaques** menant au vol de photos. Voici le vrai modèle de menace.
Ce que les SMS NE PEUVENT PAS faire
- ❌ Exécuter du code sur votre téléphone.
- ❌ Accéder à votre système de fichiers / photothèque.
- ❌ Déclencher des envois sans action utilisateur.
- ❌ « Infecter » votre téléphone par simple réception.
Comment les SMS *facilitent* le vol de photos (Vecteurs d'attaque)
1. Hameçonnage / Smishing (Le plus courant)
- Attaquant envoie SMS : « Votre stockage iCloud est plein. Vérifiez : [lien malveillant] »
- Lien → fausse page de connexion (Apple, Google, opérateur, banque).
- Vous entrez identifiants → attaquant récupère Apple ID / compte Google.
- Attaquant se connecte sur iCloud.com / photos.google.com → **télécharge toutes les photos.**
Défense : Ne cliquez jamais sur liens dans SMS inattendus. Allez sur l'app/site directement. Activez 2FA (pas par SMS).
2. Ingénierie sociale (Prétexte)
- Attaquant SMS : « Bonjour, c'est le support IT. On doit vérifier votre compte. Envoyez photo de votre pièce d'identité / écran avec code. »
- Ou : « C'est [petit-enfant], nouveau numéro. Peux-tu m'envoyer cette photo de [doc sensible] ? »
- Vous envoyez volontairement les photos.
Défense : Vérifiez l'identité via un *autre* canal. N'envoyez jamais de photos sensibles par MMS.
3. Logiciel espion déjà sur l'appareil (Spyware/Stalkerware)
- Téléphone déjà compromis (accès physique, app malveillante, exploit).
- Malware a permission **lecture galerie**.
- Malware utilise **MMS** (ou HTTP, email, WebSocket) pour **exfiltrer photos** vers serveur attaquant.
- Le SMS n'est que le **canal d'exfiltration** — pas le vecteur d'infection.
Défense : Réinitialisation usine. Installez seulement apps store officiel. Vérifiez apps admin appareil. Utilisez Mode Verrouillage (iOS) / Play Protect (Android).
4. Exploits récupération auto MMS (Historiques / Corrigés)
- Stagefright (Android, 2015) : Vidéo malformée dans MMS → RCE dans mediaserver. **Corrigé.**
- Exploits iMessage (FORCEDENTRY, BLASTPASS) : Zero-clic via image/PDF malformé. **Corrigés** (mettez à jour iOS).
- OS modernes **désactivent récupération auto MMS suspects** ou sandboxent analyse média.
5. SIM Swap → Prise de contrôle compte → Accès photos
- Attaquant manipule opérateur → porte votre numéro vers sa SIM.
- Reçoit vos codes 2FA par SMS.
- Réinitialise mot de passe Apple/Google → accède photos cloud.
Défense : **Blocage portage / NumberLock** chez opérateur. Utilisez **2FA non-SMS** (app authentificateur, clé matérielle).
SMS vs MMS vs RCS vs iMessage
| Protocole | Média | Chiffrement | Risque téléchargement auto |
|---|---|---|---|
| SMS | Texte seulement (160 car) | Aucun | N/A |
| MMS | Photo/Vidéo (compressé, ~1 Mo limite) | Aucun | Moyen (passerelle opérateur) |
| RCS | Média haute rés, saisie, accusés lecture | TLS (saut par saut), **pas E2EE** (Google Messages ajoute E2EE 1:1) | Moyen |
| iMessage | Média pleine rés, effets, apps | **E2EE** (clés appareil) | Faible (serveurs Apple, chiffré) |
| Signal / WhatsApp | Média complet | **E2EE** (Protocole Signal) | Faible (contrôle utilisateur) |
Checklist protection pratique
- 🔒 **Mettez à jour l'OS immédiatement** — corrige exploits zero-clic.
- 🔒 **Désactivez récupération auto MMS** (Android : Messages → Paramètres → Avancé → Téléchargement auto MMS : Désactivé).
- 🔒 **Utilisez messageries E2EE** (Signal, WhatsApp, iMessage) pour photos sensibles.
- 🔒 **N'entrez jamais identifiants depuis liens SMS.**
- 🔒 **Activez 2FA non-SMS** partout (Authentificateur, Passkeys, YubiKey).
- 🔒 **Protection portage opérateur** (Verizon NumberLock, T-Mobile SIM Protection, AT&T NumberLock).
- 🔒 **Revoyez permissions apps** — Accès photos : « Photos sélectionnées » (iOS 14+) / « Médias seulement » (Android 13+).
- 🔒 **Mode Verrouillage (iOS)** / **Protection renforcée (Android)** si profil à risque.
En bref : Le SMS est l'**appât ou le tuyau** — pas la **clé**. Vos photos sont volées via **vol d'identifiants, malware, ou ingénierie sociale** — souvent initiés par SMS. Sécurisez les *comptes* et l'*appareil*, pas le canal de messagerie.