Un QR code affiché quelques secondes sur un téléviseur n’a pas l’air d’être une surface d’attaque sérieuse. C’est précisément ce qui rend l’alerte de Nintendo intéressante : avant la mise à jour 23.0.0, le flux de partage de captures de la Switch et Mario Kart Live: Home Circuit pouvaient exposer la console à une attaque de proximité. Le correctif est déjà disponible. Il faut l’installer, plutôt que de traiter cette alerte comme une obscure note technique.
Nintendo décrit une attaque de proximité : une personne malveillante doit pouvoir scanner le QR code affiché par la Switch, ou par le téléviseur auquel elle est reliée. Ce n’est donc pas une brèche qui permettrait d’aspirer les données d’une console depuis l’autre bout d’Internet. La condition physique compte, et elle réduit considérablement l’exposition quotidienne.
Mais elle ne rend pas la faille anodine. Nintendo indique qu’une exploitation peut permettre d’exécuter du code non autorisé ou d’obtenir des informations stockées sur la console. Le bulletin ne détaille pas la nature exacte de ces informations, et il serait imprudent d’inventer une liste de données compromises. Le message pratique est plus simple : une fonction pensée pour connecter temporairement la Switch à un téléphone ne doit pas être utilisée devant n’importe quel appareil photo tant que la console n’est pas corrigée.
Ce genre de vulnérabilité rappelle une réalité souvent oubliée à l’ère des QR codes omniprésents : le carré noir et blanc n’est pas un élément décoratif. C’est une passerelle de connexion. Sur Switch, il sert notamment à initier le transfert sans fil de captures et de vidéos, donc à créer un contexte où la console échange avec un appareil externe. La sécurité se joue alors autant dans le protocole que dans la banalité du geste demandé à l’utilisateur.
Dans l’Album, le chemin est le suivant : menu HOME, puis Album, Partage et modification, enfin Envoyer vers un smartphone. La console propose alors d’envoyer une seule capture ou un lot de fichiers. Un smartphone lit le QR code affiché afin de lancer la connexion. C’est ce moment précis qui est concerné, pas l’Album dans son ensemble ni chaque capture stockée sur la machine.
Le second cas est Mario Kart Live: Home Circuit, le jeu hybride où un kart physique équipé d’une caméra évolue dans le salon. Nintendo conseille de ne pas utiliser un kart qui n’est pas le sien. Cette recommandation paraît très spécifique, presque étrange à première vue ; elle montre surtout que la surface d’attaque dépasse les menus traditionnels. Quand un jeu mêle console, écran, QR code et accessoire connecté, les habitudes de prêt prennent soudain une dimension de sécurité.
Nintendo recommande également de ne pas employer le téléphone d’un tiers pour « Envoyer vers un smartphone » et d’éviter les endroits où quelqu’un pourrait scanner le code affiché. Si le QR code n’est pas scanné, cette attaque ne peut pas être déclenchée dans l’environnement concerné. C’est une consigne temporaire utile, mais elle ne remplace pas le firmware.
Le choix d’un correctif au niveau du système est le détail qui compte. Nintendo ne traite pas le sujet comme un défaut isolé de Mario Kart Live, ni comme un simple problème de l’interface Album. La vulnérabilité touche le mécanisme qui gère ces interactions par QR code. C’est la bonne réponse technique, mais aussi un rappel peu flatteur : les fonctions périphériques d’une console moderne sont devenues aussi importantes que son lecteur de cartouches ou son système de comptes.
La Nintendo Switch 2 n’est pas concernée par l’obtention d’informations de console via cette vulnérabilité, selon Nintendo. En revanche, les propriétaires de Switch, Switch Lite et Switch OLED ne doivent pas extrapoler à partir du modèle : le seuil communiqué est la version système. Une machine ancienne mais mise à jour en 23.0.0 est protégée contre ce vecteur ; une console récente restée sous un firmware antérieur ne l’est pas.
Depuis le menu HOME, ouvrez Paramètres de la console, puis Console, afin de consulter la version installée. Toute version inférieure à 23.0.0 doit être mise à jour immédiatement. En attendant, évitez les QR codes affichés dans des lieux partagés, n’utilisez que votre propre téléphone pour les transferts et gardez votre propre kart pour Mario Kart Live: Home Circuit.
Le point à suivre n’est pas une hypothétique vague de piratages spectaculaires : c’est l’adoption effective du correctif. Les vulnérabilités exigeant une proximité sont rarement les plus faciles à industrialiser, mais elles prospèrent sur les consoles oubliées hors ligne, les appareils prêtés et les usages collectifs. C’est exactement le type de risque qu’une mise à jour silencieuse est censée éliminer avant qu’il ne devienne une histoire.
Accédez à des stratégies exclusives, des astuces cachées et des analyses pro que nous ne partageons pas publiquement.
Guide stratégique ultime Actualité + Astuces pro hebdomadaires