Découverte du cache
Lors d’une sauvegarde MacBook‑iPhone, l’audit de sécurité de Claude Code a mis en évidence un répertoire PhotoData/Thumbnails contenant 145 763 fichiers. Tous les éléments – photos, vidéos, captures d’écran – avaient été supprimés depuis le Camera Roll et même après passage dans Recently Deleted. Les fichiers remontent à 2021 et couvrent des contenus sensibles : passeport, relevés bancaires, seed phrase crypto, pièces d’identité, captures d’écran privées.
Mécanisme de stockage et indexation
iOS supprime l’entrée visible d’une image, mais conserve une version compressée dans le cache d’indexation utilisé par Spotlight. Ce cache, destiné à accélérer les recherches textuelles et visuelles, n’est jamais purgé automatiquement – ni après les 30 jours de la corbeille, ni après un an. Le système crée ainsi une copie redondante dans PhotoData/Thumbnails, accessible en lecture par tout processus disposant d’un accès aux fichiers du téléphone.
Risques de confidentialité
Le fait que le cache ne soit jamais vidé expose les données à chaque application qui a reçu la permission Files and Folders. L’auteur a identifié 23 applications – météo, lecteurs PDF, scanners QR, lampe torche – capables de parcourir le répertoire et d’extraire les images supprimées. Une application malveillante ou compromise pourrait donc récupérer des informations privées sans que l’utilisateur en soit conscient, contournant la promesse de suppression définitive d’iOS.
Mesures d’atténuation
Pour réduire l’exposition, il faut d’abord restreindre les permissions Files and Folders aux seules applications indispensables, puis supprimer manuellement le cache. La suppression peut se faire en connectant l’iPhone à un ordinateur, en accédant au répertoire PhotoData/Thumbnails via une sauvegarde ou un outil de forensic, et en supprimant les fichiers. Une fois le cache vidé, il faut réinitialiser les indexations Spotlight en désactivant puis réactivant la recherche de photos dans les réglages. À plus long terme, la communauté de sécurité recommande à Apple d’introduire un mécanisme d’expiration du cache ou une option de « effacement sécurisé » déclenchée lors de la suppression d’un média.
