Programmes malveillants

Particuliers et entreprises

Logiciel espion et surveillance intrusive

Spyware / Stalkerware

Un programme observe des activités ou une localisation à votre insu.

Révision éditoriale : 27 octobre 2026Comprendre : 2 min · Cas technique et détails : 4 min

Comprendre et agir

Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.

Une situation concrète

Une application dispose de permissions étendues et transmet des informations sur vos activités. Dans un contexte de surveillance par un proche, elle peut avoir été installée avec un accès physique au téléphone. La découverte doit être traitée avec prudence si une modification de l’appareil risque d’alerter une personne dangereuse.

Comment cela fonctionne

Un logiciel espion observe ou recueille des informations sans consentement valable. Le mot stalkerware désigne notamment la surveillance intrusive dans une relation personnelle. Un compte cloud partagé ou un ancien partage de localisation encore actif peut aussi permettre une surveillance, sans logiciel espion. Cherchez de l’aide depuis un appareil sûr pour examiner la situation sans augmenter inutilement le risque.

Comment le piège fonctionne

Un accès de surveillance existe
Application, compte ou partage.
Des informations sont transmises
Selon les permissions disponibles.
La sécurisation est préparée
Depuis un contexte sûr et accompagné.

Les signes qui doivent attirer l’attention

Une application ou un profil de gestion inconnu possède des droits importants.
Un tiers connaît des informations privées sans explication.
Des partages de localisation ou sessions de compte ne correspondent plus à votre volonté.

Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.

Ce que vous pouvez faire

Vos premiers réflexes

Si vous craignez la surveillance d’un proche, cherchez de l’aide depuis un appareil auquel il n’a pas accès. Préparez les changements avec une personne compétente avant de supprimer quoi que ce soit.

Si vous êtes responsable du service ou de l’organisation

Distinguez les outils de gestion autorisés des accès abusifs. Préservez les éléments utiles et tenez compte de la sécurité physique de la personne avant de modifier son appareil.

Un point à vérifierUne idée reçue à corriger

Une batterie qui se vide vite n’est pas une preuve de logiciel espion ; l’absence de ce symptôme n’exclut pas une surveillance.

À vous de décider

Pourquoi ne pas supprimer immédiatement une application suspecte dans un contexte de violences ?

Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.

Voir la réponse expliquée

La suppression peut alerter la personne qui surveille et faire disparaître des preuves. Depuis un appareil sûr, cherchez de l’aide pour préparer une réponse qui tient compte du danger.

Analyser un cas technique

Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».

Étude de cas fictive

Un logiciel dispose d’accès au microphone et aux fonctions d’accessibilité

L’application helper a accès au microphone et aux fonctions d’accessibilité. Les traces montrent trois minutes d’utilisation du capteur, puis une communication vers l’extérieur. Il faut vérifier cette suite, mais elle ne permet ni de reconstituer un enregistrement ni d’affirmer ce qui a été envoyé.

Les fonctions d’accessibilité peuvent permettre de lire l’écran ou d’interagir avec les applications. Selon le système, d’autres permissions donnent accès à la localisation, aux notifications ou aux fichiers. Examiner les droits effectifs, la source d’installation et les profils de gestion du terminal. Une application d’assistance autorisée et un outil de surveillance abusif peuvent partager certaines capacités.

Le contexte de la personne compte autant que les traces. Sur un appareil personnel, supprimer un outil de surveillance peut avertir celui qui l’a installé ou faire perdre des preuves. Préparer la reprise depuis un appareil sûr et adapter les mesures à la situation. Sur un poste géré, vérifier avec l’organisation les outils officiellement installés, leur finalité et leurs accès avant de conclure.

Le déroulement en schéma

Qui échange avec quiLisez les échanges de haut en bas. Le point marque le départ et la flèche l’arrivée. Les vérifications après correction ne sont pas la suite de l’attaque.

Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.

Étape

ApplicationIdentité et provenance

SystèmePermissions et capteurs

Canal sortantDestination

Analyste / titulaireContexte et réponse

Action
Demande de permission
Application vers Système
Trace audit de consentement
Réponse
Capacité accordée
Système vers Application
Trace microphone / accessibilité
Action
Activation du capteur
Application vers Système
Trace si audit disponible
Action
Transfert observé
Application vers Canal sortant
Trace contenu inconnu
Action
Inventaire et traces
Système vers Analyste / titulaire
Trace collecte minimale
Action sur place
Préparation d’un canal sûr
Analyste / titulaire
Trace contexte humain
Action
Retrait et contrôle du profil
Analyste / titulaire vers Système
Trace réinstallation empêchée

Comment repérer cette attaque

Indices à rechercher

Repérer les permissions sensibles, profils de gestion et logiciels persistants non reconnus, ainsi que l’utilisation inattendue des capteurs et les communications associées.

Quelles informations comparer

Comparer l’application exacte, son installation et les accès aux capteurs avec les faits rapportés. Un flux réseau peut compléter le dossier, mais ne montre pas à lui seul qu’il transportait un enregistrement audio.

Ce que ces indices ne permettent pas de conclure

Ne pas installer un outil d’inspection improvisé ni supprimer précipitamment une application sur le téléphone d’une personne menacée : cela peut altérer les preuves ou avertir l’auteur de la surveillance.

Comment réagir

Préserver les éléments utiles et préparer un environnement de communication fiable. Retirer les permissions, profils et mécanismes de réinstallation non autorisés selon le contexte, puis reconstruire si nécessaire. Réviser les comptes accessibles depuis le terminal et vérifier que la surveillance ne passe pas aussi par un partage cloud légitime détourné.

Vérifier la correction

L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.

Distinguer dans le rapport permission accordée, capteur activé et contenu transmis.
Vérifier que l’application ne réapparaît pas après synchronisation du profil de gestion.
Tester les usages légitimes d’accessibilité et de communication après correction.

À vous de raisonner

Une application utilise le microphone puis communique avec Internet. Peut-on annoncer qu’une conversation précise a été transmise ?

Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.

Comparer avec le raisonnement expliqué

Ces événements justifient une investigation, mais ne révèlent pas le contenu envoyé. Il faut qualifier séparément les permissions, l’usage du capteur et les communications. Sur un appareil personnel, préparez les actions depuis un appareil sûr en tenant compte du risque que la suppression avertisse l’auteur de la surveillance.

Consulter les détails techniques

Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.

Lire les extraits commentés (reconstitution fictive)

Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.

sensor: Observation fictive d’utilisation d’un capteur, distincte de l’autorisation de l’utiliser.
approved_app=false: Comparaison avec une politique de gestion dans le cas ; un téléphone personnel ne fournit pas automatiquement ce verdict.

Trois niveaux de preuve

Journal

Événements synthétiques ; un système ne fournit pas nécessairement ces trois sources.

inventory app=helper package_id=org.example.helper installed_by=unknown
permission app=helper microphone=allowed accessibility=allowed
sensor_audit app=helper microphone_started=22:14 duration_s=180
network app=helper destination=198.51.100.24 sent_bytes=220000
mdm approved_app=false device_owner=personal

Préparer une collecte dans votre environnement

Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.

Android — tableau de bord Confidentialité
Où les trouver
Paramètres → Confidentialité → Tableau de bord Confidentialité : choisir une autorisation, comme le microphone, pour voir les accès enregistrés par application.
Quoi relever
Examiner quelle application a accédé au microphone ou à la caméra et à quelle heure. Comparer ces accès à l’usage attendu et à l’inventaire des applications ; une autorisation accordée n’est pas une preuve d’utilisation.
Accès et prérequis
Accès autorisé à l’appareil. L’écran et l’historique varient selon la version et le fabricant ; ce n’est pas un journal complet des fichiers lus ou des données envoyées.
Documentation : Android — tableau de bord Confidentialité
Service concerné — audit et historique à vérifier
Où les trouver
Dans l’outil d’administration ou les journaux du service concerné. Demander à son mainteneur où sont enregistrées les décisions d’autorisation et les opérations métier.
Quoi relever
Dans la console de gestion des appareils, si elle existe, vérifier installation, éditeur, version et politique autorisant l’application. Sur un appareil personnel, cette console et cet historique peuvent ne pas exister.
Accès et prérequis
Il n’existe ni fichier ni vocabulaire universels. Les champs proposés ici doivent être instrumentés s’ils manquent ; ne pas enregistrer mots de passe, jetons ou contenu privé intégral.
Documentation : Service concerné — audit et historique à vérifier

Si vous pensez être concerné

Si vous craignez un proche, cherchez de l’aide depuis un appareil auquel il n’a pas accès.
Préservez les éléments utiles avec un intervenant compétent avant de modifier une configuration susceptible de l’alerter.
Dans un contexte professionnel, faites examiner applications, profils et comptes par le support habilité.

Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.

Sources et repères pour approfondir

Coalition Against Stalkerware — aide aux victimes — stopstalkerware.org
MITRE ATT&CK Mobile — techniques — attack.mitre.org
MITRE ATT&CK — Audio Capture — attack.mitre.org