Fausses applications : comment les repérer avant d'installer

Pour repérer les fausses applications, vérifiez qui a créé l'application, depuis combien de temps elle existe et si ses avis semblent authentiques, et n'installez jamais une application à partir d'un fichier envoyé par messagerie, par SMS ou via un QR code. La plupart des applications malveillantes copient une application connue dans une boutique officielle, ou arrivent en téléchargement direct accompagnées d'une histoire urgente. Si une application vous parvient par un message plutôt que par votre propre recherche dans Google Play ou l'App Store, considérez-le comme un signal d'alerte.

C'est important, car une application malveillante peut lire vos messages, y compris les codes à usage unique de votre banque, afficher de faux écrans de connexion, voire permettre à un escroc de contrôler votre écran. Une seule mauvaise installation peut suffire à vider un compte bancaire et à faire voler vos comptes en ligne. Quelques vérifications simples déjouent presque toutes ces ruses.

Les applications copiées dans les boutiques officielles

Google Play et l'App Store examinent les applications, mais certaines copies passent entre les mailles du filet pendant un temps. Elles reprennent le nom et l'icône d'une application populaire : une banque, un service de livraison ou un service public.

Avant d'appuyer sur Installer, vérifiez ces détails :

• Le nom du développeur. Comparez-le avec le site officiel de l'entreprise. L'application d'une banque doit être publiée par la banque elle-même, pas par un particulier ou une société au nom ressemblant.
• Le nom et l'icône. Cherchez les petites différences : un mot en plus comme « Pro » ou « Plus », des fautes d'orthographe ou une icône légèrement floue.
• Le nombre de téléchargements par rapport aux avis. La vraie application d'une grande banque a généralement beaucoup de téléchargements et un long historique d'avis. Une copie a souvent peu de téléchargements mais beaucoup d'avis cinq étoiles.
• Les avis récents. Triez par date. Des éloges courts et génériques publiés sur quelques jours sont suspects, et des commentaires du type « ce n'est pas la vraie application » sont une alerte claire.
• Les autorisations. Si un outil simple veut vos SMS, vos contacts ou les fonctions d'accessibilité, demandez-vous pourquoi. Notre guide des autorisations des applications explique lesquelles sont risquées.

Le réflexe le plus sûr : suivre le lien vers la boutique depuis le site officiel de la banque ou du service, plutôt que d'appuyer sur le premier résultat de recherche, qui peut être une publicité.

Les fichiers APK envoyés par messagerie, SMS ou QR code

C'est l'une des arnaques sur téléphone les plus répandues aujourd'hui, surtout sur Android. Quelqu'un se faisant passer pour une banque, les impôts, un transporteur ou la police vous contacte avec une histoire urgente :

• « Installez cette application pour recevoir votre remboursement. »
• « Réglez votre amende via cette application avant qu'elle ne soit majorée. »
• « Votre colis est bloqué. Installez notre application de suivi pour reprogrammer la livraison. »

L'« application » est un fichier APK (un installateur d'application Android) envoyé sous forme de lien, de pièce jointe dans une messagerie ou de QR code. Une fois installée, elle demande l'accès à l'accessibilité ou aux SMS, ce qui permet aux escrocs de lire vos codes bancaires et de surveiller votre écran.

Retenez une règle simple : les vraies banques et administrations n'envoient jamais de fichier d'application par messagerie ou par SMS. Si vous recevez une telle demande, raccrochez, fermez la conversation et contactez l'organisme par son numéro officiel.

Si le lien vous est parvenu sous forme de QR code, vous pouvez scanner un QR code en ligne pour voir l'adresse complète avant de l'ouvrir. Un lien qui se termine par « .apk », ou une page qui lance immédiatement un téléchargement, est un indice fort d'arnaque.

Fausses mises à jour et avertissements « sources inconnues »

Les faux messages de mise à jour

Les fenêtres surgissantes du type « Votre navigateur n'est pas à jour » ou « Votre téléphone est infecté » ne sont pas de vrais messages du système. Les vraies mises à jour viennent des Paramètres de votre téléphone, de l'App Store ou de Google Play. Fermez la page.

L'avertissement « installer des applications inconnues » sur Android

Android bloque par défaut les installations hors de Google Play. Pour installer un APK, vous devez autoriser une application précise, comme votre navigateur ou une messagerie, à « installer des applications inconnues », et Android affiche un avertissement. Google Play Protect peut aussi signaler qu'une application est dangereuse.

Prenez ces avertissements au sérieux. Si une personne au téléphone vous guide pour activer ce réglage, arrêtez-vous : c'est exactement ce que font les escrocs. Si vous l'avez autorisé par le passé, cherchez « installer des applications inconnues » dans les Paramètres et désactivez-le.

Les pièges sur iPhone : profils de configuration et applications d'entreprise

• Profils de configuration. Un site peut vous demander de télécharger un « profil » pour du Wi-Fi gratuit, un prix à gagner ou un « certificat de sécurité ». Un profil malveillant peut faire passer votre trafic par l'attaquant. Vérifiez Réglages > Général > VPN et gestion de l'appareil. Si vous voyez un profil que vous ne reconnaissez pas et que ni votre employeur ni votre établissement scolaire ne l'a installé, supprimez-le.
• Applications d'entreprise et applications en test. Les entreprises peuvent installer des applications internes sans passer par l'App Store, et les développeurs peuvent inviter des personnes à tester des applications. Les escrocs détournent ces mécanismes pour de fausses applications d'investissement ou bancaires. Si l'on vous demande de « faire confiance » à un développeur dans vos réglages avant qu'une application s'ouvre, ou d'installer une « version bêta » d'une application de trading, c'est presque certainement une arnaque.

En dehors du cadre professionnel ou scolaire, un utilisateur d'iPhone ordinaire n'a besoin ni de l'un ni de l'autre.

Que faire si vous avez installé une fausse application

1. Coupez la connexion. Activez le mode avion pour que l'application ne puisse ni envoyer de données ni recevoir d'ordres.
2. Retirez les droits spéciaux. Sur Android, vérifiez les « applications d'administration de l'appareil » (souvent dans Sécurité) et les réglages d'accessibilité, et désactivez tout ce que vous ne reconnaissez pas. Sinon, l'application peut refuser de se désinstaller.
3. Désinstallez l'application. Sur Android, si elle résiste, redémarrez en mode sans échec et réessayez. Sur iPhone, supprimez l'application et tout profil inconnu.
4. Appelez votre banque. Utilisez le numéro inscrit au dos de votre carte et demandez-lui de vérifier les opérations et de bloquer l'accès si nécessaire.
5. Changez vos mots de passe depuis un autre appareil. Commencez par la messagerie, la banque et les réseaux sociaux. Activez la double authentification là où ce n'est pas encore fait.
6. Analysez et surveillez. Lancez Google Play Protect sur Android, installez les mises à jour et vérifiez les signes décrits dans notre guide sur les signes d'un virus sur téléphone. Si les problèmes persistent, sauvegardez vos photos et réinitialisez le téléphone aux paramètres d'usine.

Check-list rapide

1. N'installez des applications que depuis Google Play ou l'App Store, jamais depuis un fichier reçu par messagerie, SMS ou QR code.
2. Comparez le nom du développeur avec le site officiel de l'organisme.
3. Comparez le nombre de téléchargements avec le nombre d'avis, et lisez les avis les plus récents.
4. Méfiez-vous de toute application qui promet un remboursement, un suivi de colis ou une amende réduite.
5. Laissez « installer des applications inconnues » désactivé sur Android.
6. Ignorez les fenêtres qui vous demandent d'installer une mise à jour depuis un site web.
7. Sur iPhone, n'installez jamais de profil et ne « faites confiance » à aucun développeur, sauf à la demande de votre employeur ou de votre établissement scolaire.
8. Si vous avez installé quelque chose de suspect : coupez la connexion, désinstallez, appelez votre banque et changez vos mots de passe depuis un autre appareil.

FAQ

Des fausses applications peuvent-elles se retrouver sur Google Play ou l'App Store ?

Oui, parfois, même si les deux boutiques les retirent dès qu'elles les détectent. Vérifier le nom du développeur, le nombre de téléchargements et les avis récents aide à les repérer.

Est-ce dangereux d'installer un fichier APK ?

Ce n'est envisageable que si vous êtes absolument certain de sa provenance. Un APK envoyé par quelqu'un qui se présente comme une banque, une administration ou un transporteur est une arnaque.

Comment savoir si une application est fiable ?

Posez-vous ces questions : est-elle dans la boutique officielle, le développeur est-il bien la vraie entreprise, les avis paraissent-ils naturels et les autorisations ont-elles du sens ? Si une seule réponse est non, ne l'installez pas.

Un iPhone peut-il avoir une fausse application ?

Oui. Des copies apparaissent parfois dans l'App Store, et les escrocs utilisent les profils, les applications d'entreprise et les invitations de test pour contourner la boutique.

La plupart des fausses applications arrivent via un lien ou un QR code dans un message urgent. Avant d'en ouvrir un, vérifiez où il mène vraiment avec le lecteur de QR code en ligne gratuit de QR-TH, et si l'adresse se termine par « .apk », arrêtez-vous là.