« SMS of Death » : comment vérifier si votre smartphone Android est protégé

C’est une attaque qu’on appelle « SMS of Death ». Avec un simple SMS invisible, on peut faire planter des millions de smartphones Android.

Le chercheur en sécurité Mark Blaszczyk a rendu publique cette faille d’Android. Il l’a fait avec un code de démonstration en libre accès, qui permet de lancer l’attaque depuis un autre smartphone Android, comme l’explique BleepingComputer.

Un seul SMS piégé suffit à couper la ligne d’un téléphone non mis à jour, appels d’urgence compris. Et la victime ne voit rien, puisque le message n’arrive jamais dans sa messagerie.

Huit octets pour faire tomber la partie téléphone

L’attaque passe par les SMS WAP Push, des messages techniques que les opérateurs utilisent pour envoyer des réglages, et qu’Android traite tout seul en arrière-plan. Le message piégé ne pèse que huit octets. Son en-tête annonce une longueur négative, et Android plante en essayant de réserver la mémoire correspondante. Le processus com.android.phone, qui gère les appels et le réseau mobile, s’arrête alors une à deux secondes. Avec une vingtaine de messages, le téléphone peut rester coincé dans une boucle de redémarrages.

Sur un appareil sous Android 12, le chercheur a vu le téléphone repartir toutes les 90 secondes environ sur son menu de secours. Seule une réinitialisation d’usine, qui efface tout le contenu, l’a débloqué. Une autre méthode existe avec ADB, l’outil qui permet de piloter un téléphone depuis un ordinateur, mais elle demande de solides compétences techniques.

Comment savoir si votre smartphone est protégé

D’après le chercheur, Google a glissé le correctif dans les mises à jour d’octobre 2026 pour Android 14 à 17, sans en parler. Ce lundi 2 novembre, le bulletin de sécurité de novembre classe enfin la faille comme critique. Vérifiez deux réglages dans les paramètres de votre téléphone :

• la version d’Android, dans « À propos du téléphone » ;
• le niveau du correctif de sécurité, souvent rangé dans « Sécurité et confidentialité ». Il doit être daté d’octobre 2026 ou plus tard.

Si une mise à jour vous attend, installez-la tout de suite (c’est la base des réflexes pour sécuriser son smartphone). Android 12 et 13, eux, n’ont reçu aucun correctif. Comme le SMS piégé ne s’affiche jamais, se méfier des numéros inconnus ne protège de rien dans ce cas.