iOS/iPadOS 26 introduit un nouveau défi de conformité. Aucun appareil physique actuel exécutant la version 26 ne peut être jailbreaké, ce qui supprime la visibilité approfondie sur laquelle les équipes s’appuient pour vérifier comment les applications mobiles traitent les données sensibles au repos et en transit. Sans preuve à l’exécution, les organisations peinent à démontrer que leurs applications mobiles respectent les exigences PCI, RGPD, DORA et autres en matière de protection des données sur les marchés où elles opèrent.

Pour les institutions financières de la zone EMEA, les enjeux sont encore plus importants

En Europe, au Moyen-Orient et en Afrique, le manque de preuves à l’exécution se heurte à un environnement réglementaire qui exige de plus en plus la preuve des tests — et pas seulement des politiques sur le papier : 

  • PCI DSS v4.0.1: Les exigences à date différée sont devenues obligatoires le 31 mars 2025, relevant le niveau attendu quant à la manière dont les applications de paiement doivent démontrer une validation de sécurité continue. 
  • DORA: Le règlement européen sur la résilience opérationnelle numérique (DORA), applicable depuis janvier 2025, impose aux entités financières de tester la résilience de leurs systèmes informatiques — canaux mobiles compris —, les tests d’intrusion fondés sur la menace (TLPT) étant attendus pour les établissements importants. 
  • NIS2: Étend les obligations de gestion des risques de cybersécurité et de déclaration à l’ensemble des entités essentielles et importantes de l’UE, englobant de nombreux acteurs des marchés financiers et leurs fournisseurs. 
  • GDPR Article 32: L’article 32 du RGPD impose explicitement aux organisations de tester, examiner et évaluer régulièrement l’efficacité des mesures techniques de sécurité — la validation à l’exécution constitue précisément cette preuve. 
  • UK operational resilience rules: Les règles de résilience opérationnelle du Royaume-Uni : la FCA et la PRA attendent des entreprises qu’elles démontrent leur capacité à rester dans les limites de tolérance d’impact pour les services métier importants, ce qui suppose de connaître le comportement réel des canaux mobiles critiques. 

Pour les banques, les prestataires de paiement et les fintechs britanniques, la question n’est plus de savoir si l’application mobile a été testée. Elle est de savoir si l’organisation peut prouver que les parcours clients critiques, les flux de paiement, les contrôles d’authentification et les composants tiers se sont comportés comme prévu d’une version à l’autre.

iOS 26 causera-t-il des problèmes de conformité PCI ?

iOS 26 à lui seul ne rompra pas automatiquement la conformité PCI, mais il rend plus difficile la validation de sécurité des applications mobiles au titre de PCI DSS. En En fermant les jailbreaks sur les appareils modernes, iOS 26 supprime les voies de test à l’exécution traditionnelles. Sans preuve à l’exécution, les équipes peuvent avoir du mal à prouver que les contrôles pertinents pour PCI se sont comportés comme prévu lors de l’exécution réelle de l’application, en particulier pour les flux de paiement, l’authentification, le stockage des données, les communications réseau et l’activité des SDK tiers. 

Ce déficit pèse le plus lourdement sur les institutions financières, soumises à la pression de publier des applications mobiles plus vite que jamais. Les recherches montrent que les téléchargements mondiaux d’applications financières ont atteint 7,7 milliards en 2024, contre 4,6 milliards en 2020. Soit une hausse de 67 % en seulement quatre ans.

Malgré d’importants investissements dans l’AppSec et les outils de conformité, de nombreuses applications financières sont mises en production sans avoir été testées à l’exécution. Le problème n’est pas que les équipes négligent les tests. C’est que les analyses statiques, les listes de contrôle et les procédures sur appareils physiques peuvent ne pas montrer comment les applications traitent les données sensibles, l’authentification, les flux de paiement et l’activité des tiers pendant l’exécution, en particulier sur les dernières versions d’iOS où l’inspection approfondie est limitée.

Les cadres de sécurité exigent des preuves à l’exécution 

Les réglementations de conformité telles que PCI DSS, le RGPD et — pour les entités financières opérant dans l’UE — DORA, imposent aux institutions financières de protéger les données sensibles, qu’elles soient stockées sur un appareil ou transmises sur les réseaux mobiles. Ces textes fixent le socle en matière de chiffrement, d’authentification et de contrôle d’accès. 

Les cadres et lignes directrices de sécurité comme OWASP MASVS aident à définir ce que des applications mobiles sécurisées doivent faire. Ils fixent des attentes dans des domaines tels que la protection des données, la communication de réseau, l’authentification, la gestion des sessions et le stockage sécurisé, mais les équipes ont toujours besoin de preuves que ces contrôles se comportent comme prévu dans l’application. 

La validation de conformité s’arrête souvent avant de prouver que ces protections fonctionnent dans des conditions d’exécution réelles. Sans tests dynamiques et interactifs, les équipes ont besoin de preuves que les contrôles se comportent comme prévu pendant l’exécution, et pas seulement d’une documentation attestant leur existence. 

Les tests de sécurité statiques suffisent-ils pour PCI ? 

La plupart des organisations de services financiers s’appuient sur les tests de sécurité applicative statiques (SAST), l’analyse de composition logicielle (SCA), des revues de conformité manuelles et des tests d’intrusion périodiques. Ces méthodes peuvent détecter du code non sécurisé et des bibliothèques obsolètes, mais le SAST seul ne suffit pas à la conformité PCI, car il ne montre pas comment l’application se comporte une fois déployée. 

Les tests de sécurité applicative statiques peuvent aider à identifier du code non sécurisé, des secrets exposés, des bibliothèques obsolètes et d’autres risques au niveau des paquets. Mais l’analyse statique seule ne montre pas comment l’application se comporte pendant l’exécution, notamment la façon dont elle gère les autorisations, les sessions, l’authentification, le stockage local, la communication réseau, l’activité des SDK tiers et les données de paiement sensibles. Pour les flux pertinents pour PCI, les équipes ont toujours besoin de preuves à l’exécution que les contrôles se comportent comme prévu avant la mise en production. 

C’est pourquoi tester ces protections pendant le développement est essentiel. Corellium Viper permet aux équipes AppSec de mener des tests dynamiques approfondis dans des environnements iOS virtualisés, tandis que MATRIX™ relie automatiquement les résultats à des cadres tels qu’OWASP, le RGPD, PCI DSS et HIPAA, aidant les équipes à valider la conformité au plus tôt et à prouver la sécurité à l’exécution à chaque version. 

Les tests à l’exécution sur Android restent possibles

Sur Android, les équipes de sécurité et les testeurs d’intrusion peuvent souvent obtenir une visibilité plus approfondie sur l’activité du système de fichiers, la persistance des journaux locaux et le comportement des sessions lors de la connexion, de la déconnexion ou des plantages de l’application. Si tous les appareils Android ne peuvent pas être facilement rootés, la plateforme offre en général davantage de possibilités d’inspection à l’exécution via des appareils de test compatibles, des émulateurs et d’autres environnements de test — chacun offrant des niveaux de visibilité et de preuve différents. Cette souplesse permet aux organisations de valider plus complètement les exigences PCI DSS et OWASP MASVS, notamment le chiffrement au repos, la gestion sécurisée des clés et le traitement des journaux, tout en reconnaissant que la qualité et l’exhaustivité des preuves varient selon l’approche de test.

Peut-on encore effectuer des tests PCI à l’exécution sur iOS 26 ?

Oui, mais les équipes ont besoin d’une approche différente. Les dernières versions d’iOS sont devenues de plus en plus difficiles à inspecter sur des appareils physiques. À mesure qu’Apple durcit la plateforme et corrige les vulnérabilités utilisées par les jailbreaks, les jailbreaks publics pour les versions actuelles d’iOS sont devenus rares et peu fiables pour les tests de sécurité. L’inspection du système de fichiers est restreinte, l’accès à la mémoire est limité et l’instrumentation sur matériel physique est difficile. 

Les anciens appareils jailbreakés peuvent encore prendre en charge certains flux de test, mais ils ne reflètent plus les versions d’iOS et les modèles d’appareils que les clients utilisent en production. 

Par conséquent, les équipes peuvent avoir du mal à produire des preuves à l’exécution sur la façon dont les applications iOS traitent les données sensibles, l’authentification, le stockage local, l’activité réseau et le comportement des SDK tiers. Des environnements virtualisés comme Corellium offrent aux équipes AppSec un moyen de tester les versions actuelles d’iOS avec un accès d’inspection plus approfondi, aidant à combler le déficit de preuves laissé par les procédures sur appareils physiques. 

Le risque : une conformité présumée, sans vérification

Lorsque le comportement à l’exécution ne peut pas être observé, la conformité devient une affaire de confiance plutôt que de preuves. Les équipes de sécurité peuvent supposer que le chiffrement fonctionne ou que les journaux sont correctement expurgés, mais elles n’ont aucun moyen de le confirmer. 

Cette lacune crée un risque réglementaire, réputationnel et opérationnel. De nombreuses institutions valident des applications mobiles sans savoir : 

  • Quelles données sont stockées localement 
  • Comment se comportent les SDK tiers 
  • Si les jetons sont correctement invalidés 
  • Si les journaux persistent ou exposent des données sensibles 

Risques courants des applications mobiles dans la finance : 

  • Usage inapproprié des identifiants 
  • Sécurité insuffisante de la chaîne d’approvisionnement 
  • Authentification / autorisation non sécurisée 
  • Validation insuffisante des entrées/sorties 
  • Stockage de données non sécurisé  

Grâce à OWASP Mobile Top 10, les équipes de sécurité peuvent évaluer les applications mobiles financières au regard des menaces et faiblesses les plus répandues du secteur.

Comment valider la conformité PCI sur iOS 26

Pour valider la conformité PCI sur iOS 26, les programmes AppSec mobiles efficaces valident le comportement en continu — pas seulement pendant le développement, mais à chaque cycle de publication. Cela comprend : 

  • Tests dynamiques sur les versions Android, iPadOS et iOS 
  • Surveillance du comportement des SDK, des appels d’API et de l’activité réseau 
  • Inspection de la gestion des sessions, du stockage des jetons et du comportement d’authentification 
  • Vérification des contrôles de chiffrement, de stockage local et de transmission des données 
  • Association des exigences PCI et MASVS à des flux de validation CI/CD reproductibles 

La preuve à l’exécution suppose d’exécuter et d’observer l’application dans des conditions pertinentes d’appareil, de système, de réseau, d’autorisations, de session et de SDK. Les analyses statiques peuvent aider à la découverte des risques, et les simulateurs peuvent contribuer aux tests fonctionnels, mais ni les unes ni les autres ne remplacent complètement la validation à l’exécution dans des environnements mobiles représentatifs.

La validation à l’exécution est un prérequis pour les applications financières 

Une application de banque mobile peut passer le test PCI DSS et néanmoins divulguer des informations personnelles identifiables. Elle peut satisfaire aux exigences de l’OWASP MASVS et néanmoins mal gérer l’authentification. Elle peut atteindre une couverture de test élevée et néanmoins exposer des comptes à un risque de prise de contrôle. La sécurité à l’exécution peut s’apparenter à une protection intégrée à l’application ou RASP. Les équipes des services financiers doivent prouver que les contrôles de sécurité se comportent comme prévu pendant l’exécution.

De la conformité à la confiance : observer le comportement réel de l’application

Dans la finance mobile, l’application est un point de contrôle critique en contact avec le client. Elle gère les identités, les transactions, l’authentification, les flux de paiement et les données sensibles sur des appareils que l’institution ne maîtrise pas entièrement. Sans preuve à l’exécution, les équipes peuvent avoir du mal à prouver que ces contrôles se comportent comme prévu pendant l’exécution, en particulier dans les environnements modernes iPhone et iPad, où l’inspection approfondie est restreinte. 

Publier une application mobile n’est pas un jalon. Prouver qu’elle se comporte de manière sécurisée en est un. 

Viper, propulsé par la plateforme de sécurité mobile de Corellium, offre aux équipes de sécurité financière un moyen de valider le comportement des applications iOS dans des environnements d’appareils virtuels contrôlés, y compris les versions actuelles d’iOS telles qu’iOS 26, sans dépendre de procédures obsolètes de jailbreak physique. 

Les équipes peuvent observer comment les applications gèrent, pendant l’exécution, des comportements pertinents pour PCI tels que le stockage local des données, la gestion des sessions, l’utilisation des jetons, la journalisation, l’activité réseau et le comportement des SDK tiers. Cela aide les équipes à produire des preuves à l’exécution que les analyses statiques et les revues par listes de contrôle peuvent ne pas fournir à elles seules. 

Associé à MATRIX™, Viper transforme la validation à l’exécution en preuves hiérarchisées par le risque et rattachées à la conformité. Viper aide les équipes à observer le comportement de l’application pendant l’exécution, tandis que MATRIX structure ces résultats en constats, niveaux de gravité, recommandations de remédiation, correspondances avec les cadres et rapports à l’appui des audits, pour des normes telles qu’OWASP MASVS, PCI DSS, le RGPD et d’autres exigences applicables. 

Ensemble, ils aident les institutions financières à passer de résultats de test bruts à des preuves défendables que les responsables AppSec, conformité et sécurité peuvent utiliser pour valider les contrôles, suivre la remédiation et étayer les décisions de publication à grande échelle. 

Prêt à valider votre application financière au-delà des listes de contrôle PCI ?

Planifiez une réunion avec un expert Corellium pour découvrir comment Viper vous aide à prouver la conformité PCI sur iOS 26.

Share this post