Un logiciel espion qui s'achète par abonnement
Le mot « stalkerware » désigne une famille de logiciels tout à fait ordinaires en apparence : des applications commerciales, vendues par abonnement, souvent présentées comme du « contrôle parental » ou du « suivi de flotte d'entreprise ». Une carte bancaire, dix à quarante euros par mois, et n'importe qui dispose d'un tableau de bord en ligne qui affiche la vie d'un téléphone : messages, position GPS en continu, photos, historique de navigation, journal d'appels. Certaines vont jusqu'à déclencher le micro.
Il n'y a aucune prouesse technique là-dedans. Pas de faille secrète, pas de ligne de code à écrire. Le produit est conçu pour être installé par quelqu'un qui n'y connaît rien, en quelques minutes, sur un téléphone qu'il tient dans les mains. Une fois en place, l'application se rend discrète : pas d'icône, un nom de processus anodin, rien à l'écran.
L'ampleur est difficile à mesurer précisément, c'est un logiciel conçu pour ne pas être vu. Les chiffres dont on dispose sont des planchers : un seul éditeur d'antivirus en détecte chaque année sur des dizaines de milliers de téléphones dans le monde, et la Coalition Against Stalkerware, qui fédère une quarantaine d'organisations, constate que le phénomène ne recule pas. Or on ne compte là que les appareils équipés d'une protection : les autres n'apparaissent dans aucune statistique.
Qui installe ces applications ? Un conjoint, un ex, un parent qui déborde du cadre, parfois un employeur. Précisons-le clairement : dans la plupart des pays, installer un logiciel de surveillance sur le téléphone d'un autre adulte sans son consentement est une infraction pénale, peu importe le lien qui unit les deux personnes.
Cinq minutes d'accès physique font plus de dégâts que n'importe quel virus
C'est le point que cet article voudrait vous faire retenir, parce qu'il inverse l'image qu'on se fait de la menace. Pirater un téléphone à distance, sans aucune interaction de la victime, est extraordinairement difficile : les failles qui le permettent se négocient plusieurs millions d'euros et servent à l'espionnage d'États, pas à surveiller un particulier. Le chemin réaliste est beaucoup plus court : connaître votre code, et rester cinq minutes seul avec votre téléphone.
Sur Android, l'installation se fait directement : on autorise les « sources inconnues », on installe l'application, on lui accorde des permissions puissantes (accessibilité, administration de l'appareil), on masque l'icône. Sur iPhone, installer une application espionne est nettement plus difficile, la surveillance passe alors le plus souvent par un autre chemin : les identifiants du compte Apple. Celui qui les connaît peut consulter les sauvegardes, la position, les photos, sans rien installer du tout.
La conséquence pratique est simple, et elle ne coûte rien : votre code de déverrouillage est la première serrure de votre vie numérique. Un code partagé « par confiance », une date de naissance, le même code depuis des années, c'est par là que tout commence. Le changer, et le garder pour soi, redevient un geste de sécurité de base. Au même titre que de ne pas laisser traîner son téléphone déverrouillé.
Les vrais signes, et les faux
Commençons par évacuer les faux signes, parce qu'ils nourrissent des inquiétudes inutiles : une batterie qui chauffe, un téléphone qui ralentit, une consommation de données qui varie. Ces symptômes ont mille causes innocentes, une application mal écrite, une batterie qui vieillit, une mise à jour récente. Les logiciels de surveillance modernes sont précisément conçus pour ne pas se trahir de cette façon.
Les signes qui méritent vraiment votre attention sont ailleurs. Le premier n'est pas technique : une personne de votre entourage sait des choses qu'elle ne devrait pas savoir, où vous étiez, ce que vous avez écrit, à qui vous avez parlé. Ce signal-là, répété, vaut plus que n'importe quel symptôme de batterie.
Côté téléphone, cherchez ce qui est structurel : une application que vous ne reconnaissez pas dotée de permissions démesurées (accessibilité, administrateur d'appareil), l'option « installation de sources inconnues » activée sans souvenir de l'avoir fait sur Android, un appareil inconnu connecté à votre compte Google ou Apple, un partage de position que vous n'avez pas configuré. Ces vérifications se font dans les réglages, en quelques minutes, et ne demandent aucune compétence particulière.
Que faire : et que ne pas faire
Un réflexe compréhensible consiste à supprimer l'application immédiatement. C'est parfois une erreur : la plupart de ces logiciels préviennent la personne qui les a installés dès qu'ils cessent d'émettre. Si cette personne fait partie de votre quotidien et que la situation vous inquiète, la suppression brutale peut aggraver les choses. Dans ce cas, documentez d'abord (photos des écrans, dates), et faites-vous accompagner, le site de la Coalition Against Stalkerware, stopstalkerware.org, recense des organisations d'aide pays par pays.
Si vous décidez d'agir, procédez dans l'ordre :
- →Changez votre code de déverrouillage : pas une date de naissance, pas un code déjà connu d'un proche.
- →Depuis un autre appareil (celui d'un ami, un ordinateur de confiance), changez le mot de passe de votre email, puis de votre compte Google ou Apple.
- →Passez en revue les appareils et sessions connectés à ces comptes, et retirez tout ce que vous ne reconnaissez pas.
- →Activez la double authentification sur l'email et le compte principal.
- →En dernier recours, la réinitialisation d'usine efface la quasi-totalité de ces logiciels : à condition de reconfigurer ensuite le téléphone avec des mots de passe neufs, pas depuis une sauvegarde compromise.
Ce que fait Trasimène
Le monitoring d'applications de Trasimène compare en continu les applications installées à des listes de logiciels de surveillance connus, mises à jour côté serveur, et signale les combinaisons de permissions caractéristiques : une application invisible qui cumule accessibilité, démarrage automatique et fonctionnement permanent en arrière-plan n'a presque jamais de raison légitime d'exister.
Soyons honnêtes sur les limites, parce que c'est la ligne de ce blog : aucune application de sécurité ne voit tout. La surveillance qui passe par les identifiants d'un compte Apple ou Google ne s'installe pas sur le téléphone, elle se détecte dans les réglages du compte, pas par un scan. C'est pour cela que cet article vous a montré les deux vérifications, et pas seulement celle que nous automatisons.
Il n'y a aucune raison de vivre dans la paranoïa : la surveillance dont parle cet article ne tombe pas du ciel, elle vient de près, et elle se prévient avec des gestes simples, un code à soi, un compte verrouillé, un œil sur les permissions de temps en temps. Si un jour la technique ne suffit plus, parce que la situation dépasse le téléphone, des organisations existent dans la plupart des pays pour vous accompagner. Les vérifications, elles, prennent dix minutes. Elles valent la peine d'être faites une fois, et refaites de temps en temps.
- Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
- Coalition Against Stalkerware, "About", stopstalkerware.org
- Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
- Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021
Vérifiez les applications de votre téléphone