Détecter un logiciel espion sur son téléphone

Un logiciel espion est une application posée sur un appareil à l'insu de son porteur pour transmettre à un tiers ses messages, sa position et le contenu de son écran. Sur Android comme sur iPhone, il se dissimule derrière un nom anodin et ne laisse presque aucune trace visible.

Ce que capte réellement une application de surveillance

Le mot recouvre des familles très différentes, et la confusion coûte du temps à qui cherche. Un spyware commercial vendu comme solution de surveillance familiale s'installe en quelques minutes, à la main, sur un téléphone déverrouillé, puis se pilote à distance depuis un navigateur, souvent contre une inscription mensuelle de quelques dizaines d'euros. Un cheval de Troie arrive par une pièce jointe ou par une application récupérée hors du magasin officiel. Un logiciel d'interception d'État, lui, n'a besoin d'aucun geste de la victime. Ces trois objets partagent une finalité et rien d'autre : ni le mode d'entrée, ni les traces, ni les moyens de s'en débarrasser.

La distinction pratique tient à l'accès physique. La très grande majorité des cas rencontrés en France relèvent du stalkerware, ces applications vendues ouvertement pour surveiller un conjoint ou un adolescent. Elles réclament toutes que quelqu'un ait tenu l'appareil en main, connu le code de déverrouillage, et accepté une série d'autorisations. Sans cette étape, elles n'existent pas.

Comment fonctionne un logiciel espion ?

Il tourne en arrière-plan sans icône dans le tiroir d'applications, capte ce qui s'affiche à l'écran ou passe par le micro, puis expédie le tout vers un serveur consulté à distance depuis un tableau de bord. Le transfert se fait de manière intermittente, souvent la nuit, pour rester discret.

Les symptômes qui trahissent une surveillance, et ceux qui ne prouvent rien

Un téléphone qui chauffe n'est pas un téléphone espionné. Le premier réflexe utile consiste à écarter les causes ordinaires avant de suspecter quoi que ce soit : une mise à jour du système en cours, une batterie qui a passé le cap des trois années de charge, une application de navigation restée ouverte. La plupart des consultations menées par les associations d'aide aux victimes se terminent ainsi.

Ce qui doit alerter, c'est la combinaison. Une batterie qui perd trente pour cent en une matinée d'usage normal, un appareil tiède posé sur la table sans raison apparente, et une consommation de données mobiles qui double d'un mois sur l'autre forment ensemble un faisceau sérieux. Android et iOS affichent tous deux la consommation détaillée par application dans leurs réglages : ces informations valent mieux que toutes les impressions, et l'on peut y voir en quelques secondes une entrée inconnue en tête de liste.

• Redémarrages spontanés ou écran qui s'allume seul alors que rien n'arrive.
• Bruit de fond, écho ou déclics pendant les appels, sur plusieurs correspondants différents.
• Réception de SMS composés de suites de chiffres ou de caractères sans destinataire identifiable.
• Extinction anormalement lente, comme si un processus refusait de se fermer.
• Voyant du micro ou de la caméra qui s'allume hors de toute utilisation, sur iOS 14 et Android 12 au minimum.
• Batterie qui se vide au repos, écran éteint, alors qu'aucun téléchargement n'est en cours.

Quels sont les signes d'un téléphone espionné ?

Une autonomie qui s'effondre, une chauffe au repos, un volume de données mobiles anormal et des redémarrages inexpliqués, tous constatés en même temps. Pris séparément, chacun s'explique par une cause banale ; c'est leur simultanéité, sur plusieurs jours, qui justifie les vérifications décrites plus bas.

Les vérifications à mener sur Android

Android laisse davantage de prise que son concurrent, ce qui joue ici en faveur de la personne qui cherche. Cinq écrans suffisent à faire le tour, et ce parcours rapide demande un quart d'heure.

Les services d'accessibilité

C'est le point le plus révélateur. Pour lire le contenu d'une conversation dans une messagerie chiffrée, un spyware n'a pas d'autre choix que de passer par l'accessibilité, la couche destinée aux personnes malvoyantes qui donne le droit d'accéder à tout ce que l'écran affiche. Dans Paramètres, puis Accessibilité, puis Applications installées, la liste doit se limiter à ce que vous reconnaissez. Un nom générique du genre Device Health, System Update Service ou Sync Manager n'a rien à y faire.

Les administrateurs d'appareil

Cette permission empêche la désinstallation ordinaire : tant qu'elle est cochée, l'icône de suppression reste grisée. Elle se trouve dans Paramètres, Sécurité, Autres paramètres, Applications d'administration de l'appareil. Seuls votre employeur, si vous utilisez un terminal professionnel, ou une application de localisation que vous avez choisie devraient y figurer.

Play Protect et les sources inconnues

Google Play Protect analyse en continu les applications présentes sur l'appareil Android et signale désormais ces applications sous l'étiquette stalkerware. S'il se trouve désactivé alors que vous n'y avez jamais touché, la question est réglée : quelqu'un a fait le nécessaire pour qu'une installation passe. Le menu Applications aux accès spéciaux, Installer des applications inconnues, montre pour sa part quel navigateur ou quel gestionnaire de fichiers a reçu le droit de télécharger et de poser un paquet venu d'ailleurs que du magasin officiel.

Les autorisations sensibles et les applications masquées

Le gestionnaire d'autorisations regroupe par catégorie ce qui accède au micro, à la caméra, à la position et aux contacts. Une application dont vous ignorez le rôle et qui cumule ces quatre accès mérite un examen sérieux. Le tiroir ne montrant que ce qui possède une icône, complétez par Paramètres, Applications, Afficher toutes les applications, qui liste sans exception ce qui est présent sur la plateforme.

Comment détecter un logiciel espion sur téléphone ?

En parcourant dans l'ordre les services d'accessibilité, les administrateurs d'appareil, la liste complète des applications et la consommation de données par application. Sur Android, ces quatre informations se lisent en un quart d'heure et suffisent à écarter la grande majorité des cas.

Ce qu'un antivirus mobile reconnaît, et ce qu'il laisse passer

Un mouchard n'est pas un virus, et cette différence explique bien des déceptions. Un antivirus compare les applications présentes à une base de signatures : il reconnaît sans peine un virus ou un cheval de Troie diffusé en masse, parce que le même fichier malveillant circule sur des milliers d'appareils. Une application de surveillance vendue légalement, elle, est signée par un éditeur identifiable et distribuée depuis son propre site web : rien ne la distingue techniquement d'une application de géolocalisation familiale.

Les éditeurs de sécurité ont fait évoluer leurs produits sur ce point, et la plupart les signalent désormais dans une catégorie séparée, souvent nommée riskware. Il faut alors lire l'alerte et non la supprimer machinalement, car elle porte le nom du paquet installé, ce qui donne la piste à suivre. Un antivirus reste utile pour un appareil infecté par un virus diffusé sur internet, ou par une prise de contrôle à distance, et sans intérêt face à quelqu'un qui a eu le téléphone entre les mains pendant dix minutes.

Notez enfin que la vigilance vaut aussi hors du mobile. Un ordinateur infecté par le même type de programme donne accès aux mêmes messageries et aux mêmes comptes, et une cyberattaque commence souvent par la machine la moins surveillée du foyer.

Sur iPhone, où regarder quand rien n'apparaît

Le cloisonnement d'iOS interdit à une application du magasin de lire ce que fait une autre. Sur un iPhone qui n'a pas été débridé, un spyware classique est donc techniquement hors de portée, et c'est une bonne nouvelle : les cas réels passent presque toujours par autre chose que par un programme installé.

Trois pistes couvrent l'essentiel. Réglages, Général, VPN et gestion de l'appareil doit être vide sur un iPhone personnel ; un profil de configuration inconnu y donne un pouvoir considérable, et sa présence est le seul équivalent iOS d'une application de surveillance. Réglages, Localisation, Partager ma position révèle ensuite avec qui l'appareil communique en permanence sa position, souvent un partage familial accepté des années plus tôt puis oublié. Enfin, un compte iCloud dont un tiers connaît le mot de passe ouvre les sauvegardes, les photos et les messages sans qu'aucun logiciel n'ait jamais touché le téléphone : la fuite passe alors par le cloud, pas par l'appareil.

Le Contrôle de sécurité introduit avec iOS 16, dans Réglages, Confidentialité et sécurité, rassemble ces vérifications et permet de couper d'un geste tous les partages en cours. Apple l'a conçu pour les situations de violences conjugales, et c'est le premier écran à ouvrir en cas de doute.

Retirer ce que l'on a trouvé, dans le bon ordre

L'ordre des gestes compte davantage que les gestes eux-mêmes. Retirer d'abord la permission d'administrateur, puis désinstaller ; l'inverse ne fonctionne pas. Redémarrer ensuite en mode sans échec sur Android, ce qui neutralise tout ce qui a été ajouté après le système et permet de supprimer une application récalcitrante. Changer enfin les mots de passe des comptes sensibles depuis un ordinateur sain, un gestionnaire de mots de passe facilitant la manoeuvre, et activer la double authentification partout où elle existe.

Deux vérifications sont régulièrement oubliées à ce stade. Le stockage cloud du compte principal, d'abord : tant que la sauvegarde cloud reste accessible à un tiers, supprimer l'application ne change rien à la fuite. Les sessions ouvertes ensuite, à voir dans la page de sécurité du compte Google ou Apple, qui recense chaque appareil connecté et l'adresse depuis laquelle il s'est présenté. Un historique de connexion inhabituel se lit également là.

La réinitialisation aux réglages d'usine reste la seule méthode qui offre une certitude. Elle a un coût : elle efface les fichiers non sauvegardés, et il faut ensuite restaurer une sauvegarde antérieure à l'infection, faute de quoi le problème revient avec ses données. Sur un ordinateur touché par un programme comparable, la logique est identique et la marche à suivre détaillée dans notre guide pour désinstaller un logiciel sous Windows sans laisser de résidus.

Comment supprimer une application espionne du téléphone ?

Retirez la permission d'administrateur, désinstallez depuis le mode sans échec, changez les mots de passe depuis un autre matériel, fermez les sessions cloud ouvertes, puis activez la double authentification. En cas de doute persistant, la réinitialisation d'usine suivie d'une restauration prudente reste la voie la plus sûre.

Quels types de logiciels espions existent ?

Trois familles : les applications de surveillance vendues au grand public, qui exigent un accès physique ; les chevaux de Troie diffusés par des fichiers piégés, qui visent surtout les identifiants bancaires ; et les dispositifs d'interception réservés aux États, qui exploitent des failles sans la moindre action de la victime.

Contrôle parental, employeur : où passe la ligne

Une partie de ces applications se vend en toute légalité, ce qui brouille les repères. Un parent peut équiper le téléphone d'un enfant mineur dont il a la charge, à condition de l'en avertir, et les fonctions de contrôle parental intégrées aux deux plateformes couvrent le besoin sans logiciel tiers : Family Link du côté de Google, Temps d'écran du côté d'Apple. Elles limitent les usages et remontent des durées, elles ne lisent pas les conversations. Beaucoup de parents découvrent d'ailleurs que ces fonctions suffisent largement à l'usage qu'ils avaient en tête.

Surveiller le téléphone d'un conjoint, d'un ex ou d'un majeur relève en revanche du pénal. L'article 226-1 du code pénal punit d'un an d'emprisonnement et de 45 000 euros d'amende l'atteinte à l'intimité de la vie privée, et l'article 226-15 sanctionne l'interception de correspondances. La circonstance de conjoint aggrave la peine depuis la loi du 30 juillet 2020. Le fait que l'application soit en vente libre ne change rien à la qualification, et un contrôle parental détourné vers un adulte tombe sous le même article.

Une entreprise n'a pas davantage les mains libres. Elle peut équiper un terminal professionnel d'une solution de gestion de flotte, à condition d'une information préalable des salariés et du comité social et économique, d'une collecte limitée au nécessaire et d'une inscription du traitement au registre prévu par le règlement général sur la protection des données. Une géolocalisation permanente hors du temps de travail a déjà valu des sanctions à plusieurs sociétés. Chaque entreprise doit pouvoir démontrer la proportionnalité de ce qu'elle observe, et une fiche de la CNIL précise ce que la loi tolère en entreprise.

Pegasus, Predator : l'interception au niveau des États

Les noms qui font les titres de presse ne concernent pas le même public. Pegasus, développé par la société israélienne NSO Group, et Predator, vendu par l'alliance Intellexa, s'installent par des failles dites sans clic : aucune action de la victime, parfois un simple appel manqué. Ils accèdent au micro, à la caméra et au contenu des messageries chiffrées avant chiffrement, c'est-à-dire là où le chiffrement ne protège plus.

Le consortium de journalistes qui a révélé l'affaire en 2021 a documenté des listes de numéros visés comptant des journalistes, des avocats et des responsables politiques. Ces solutions sont vendues à des services étatiques et facturées à des niveaux qui excluent tout usage privé. Une personne ordinaire n'en est pas la cible, et le rappeler évite deux erreurs symétriques : la panique inutile, et l'idée qu'un antivirus grand public serait de taille. Le Security Lab d'Amnesty International publie à propos de ces enquêtes un outil d'analyse de sauvegardes, le Mobile Verification Toolkit, réservé à ceux qui ont une raison sérieuse de se croire visés.

Quels sont les risques d'un mouchard sur son téléphone ?

La captation des identifiants bancaires et des codes reçus par SMS, l'accès aux photos et aux données personnelles, et surtout la connaissance permanente des déplacements. Dans les situations de violences, cette dernière conséquence est la plus grave, car elle rend la mise à l'abri impossible.

Empêcher une nouvelle intrusion

La prévention tient en quelques habitudes d'hygiène numérique, et pas une ne demande de solution payante. Un code de déverrouillage que personne ne connaît reste la meilleure barrière, puisque la quasi-totalité des installations passe par un smartphone laissé sans surveillance quelques minutes. Les mises à jour du système ferment les failles utilisées par les chevaux de Troie et méritent d'être appliquées le jour même. Le magasin officiel de chaque plateforme n'est pas infaillible, mais un fichier récupéré sur un site inconnu a beaucoup plus de chances d'être vérolé : nos conseils pour vérifier un téléchargement avant de lancer l'installation s'appliquent tels quels au mobile.

Deux réflexes complètent l'ensemble. Passer une fois par an en revue les autorisations accordées aux applications que vous conservez, en retirant tout accès au micro, aux contacts ou à la position qui n'a plus de justification. Et vérifier également les appareils rattachés au compte Google ou Apple, car une session ouverte sur un matériel oublié donne accès aux mêmes données qu'un spyware, sans qu'aucune application n'ait eu besoin d'être posée. Le catalogue d'utilitaires pour Android et celui des applications iOS permettent de choisir des applications légitimes en connaissance de cause.

Comment se protéger des logiciels espions ?

Verrouillez l'appareil avec un code connu de vous seul, appliquez les mises à jour sans attendre, n'installez que depuis le magasin officiel, laissez Play Protect actif sur Android et revoyez chaque année les autorisations accordées. Ces gestes coûtent moins qu'une solution payante et protègent davantage.

Quand il faut s'arrêter et demander de l'aide

Il existe une situation où tout ce qui précède doit être suspendu. Lorsque la surveillance s'inscrit dans un contexte de violences au sein du couple, effacer l'application avertit immédiatement celui qui l'a posée, et cette rupture de contact peut déclencher une réaction dangereuse. Les associations spécialisées et la Coalition contre le stalkerware recommandent alors de ne rien toucher avant d'avoir préparé la mise à l'abri, et de faire constater la présence du mouchard.

Les recours existent et ils sont gratuits. Le 3919 accueille les victimes de violences conjugales, le 17 et le 112 restent joignables en urgence, et la plateforme publique Cybermalveillance.gouv.fr oriente vers des prestataires référencés et vers le dépôt de plainte. Une expertise informatique judiciaire pourra identifier ce qui se trouve installé et par qui, ce qu'aucune manipulation faite soi-même ne permettra jamais d'établir. Ce guide décrit des vérifications techniques ; il ne remplace ni un dépôt de plainte ni l'avis d'un professionnel.