Comment détecter un logiciel espion sur Android : ce que vous pouvez réellement vérifier

Android, c’est l’inverse du problème de l’iPhone. Sur iOS, le bac à sable est si strict qu’aucune application ne peut analyser le système, et c’est pourquoi les antivirus pour iPhone ne peuvent pas faire ce que leur fiche laisse entendre. Sur Android, vous avez le droit de regarder dans plusieurs des endroits qui comptent, et la plupart sont des écrans de réglages ordinaires que vous pouvez ouvrir dès maintenant.

Cette ouverture explique aussi pourquoi Android est davantage touché par les logiciels de traque (stalkerware). Quiconque peut déverrouiller votre téléphone pendant cinq minutes peut installer une application en dehors du Play Store, lui accorder les autorisations dont elle a besoin et masquer son icône. Aucune faille à exploiter, aucun rootage, aucune compétence technique. Il suffit de votre code de déverrouillage et de quelques minutes seul avec votre appareil.

Ce guide passe en revue ce que vous pouvez vérifier vous-même, dans l’ordre où cela vaut la peine de le faire, puis la seule chose qui doit se faire depuis un ordinateur.

Avant de commencer, si vous pensez savoir qui vous surveille

Si la personne que vous soupçonnez est un ou une partenaire, un ex, un membre de votre famille ou un employeur, lisez la partie consacrée à la sécurité, vers la fin de cet article, avant de modifier le moindre réglage. Certaines applications de surveillance préviennent la personne qui les a installées lorsqu’elles sont désactivées et, dans une relation d’emprise, cette alerte peut aggraver la situation. Rien de ce qui suit n’est assez urgent pour sauter cette étape.

Comment fonctionnent réellement les logiciels de traque sur Android

Presque toutes les applications de surveillance commerciales sur Android reposent sur les trois mêmes fonctions. Ce sont des éléments légitimes de la plateforme, conçus pour de vrais usages, et ce sont elles qui permettent à ces logiciels de tout observer ou presque sans exploiter la moindre faille.

Les services d’accessibilité. Conçue pour permettre aux lecteurs d’écran de fonctionner, cette autorisation permet à une application de voir le contenu de votre écran et d’observer ce que vous tapez. C’est exactement la capacité dont un enregistreur de frappe a besoin. Si vous ne devez vérifier qu’une chose sur cette page, vérifiez celle-ci.

L’accès aux notifications. Chaque notification que reçoit votre téléphone, y compris le texte intégral des messages d’applications que le logiciel ne pourrait pas lire autrement, passe par cette autorisation.

L’administration de l’appareil. Prévue pour la gestion des téléphones d’entreprise, elle rend une application plus difficile à désinstaller et lui permet de résister à la suppression.

Une application de surveillance qui dispose de ces trois autorisations ne se cache pas dans un recoin obscur du système d’exploitation. Elle se trouve dans vos réglages, avec votre autorisation enregistrée à côté, parce que quelqu’un l’a accordée en tenant votre téléphone entre ses mains.

Sept vérifications que vous pouvez faire vous-même

Les noms des menus varient entre Samsung, Pixel, Xiaomi et les autres. Si un chemin indiqué ci-dessous ne correspond pas à votre téléphone, ouvrez Paramètres et utilisez le champ de recherche en haut avec les mots en gras.

1. Lancez Play Protect, puis vérifiez s’il avait été désactivé

Ouvrez le Play Store, touchez l’icône de votre profil, puis Play Protect, puis Analyser. Il signalera les applications de surveillance connues.

Le détail le plus révélateur, c’est de savoir s’il était déjà désactivé. Play Protect est activé par défaut, il vous avertit quand des applications sont installées en dehors du Play Store, et le désactiver est un acte délibéré. Si vous le trouvez désactivé alors que vous ne l’avez pas fait vous-même, quelqu’un voulait qu’une installation passe inaperçue.

2. Lisez votre liste d’accessibilité

Paramètres, puis Accessibilité, puis cherchez les services téléchargés ou installés. Sur un téléphone normal, cette liste est vide, ou ne contient que des outils que vous avez choisis : un lecteur d’écran, une loupe, un gestionnaire de mots de passe, un lanceur.

Tout ce qui s’y trouve sans que vous l’ayez installé mérite une explication. Les noms sont choisis exprès pour paraître anodins, du genre System Service, Device Health, Update Manager, Sync Services ou Accessibility Helper. Un véritable composant du système n’apparaîtra pas dans la section des services téléchargés de cet écran.

3. Vérifiez l’accès aux notifications

Paramètres, puis Notifications, puis Notifications des appareils et des applis ou Accès spéciaux des applications, puis Accès aux notifications. Même logique : toute application que vous ne reconnaissez pas et qui a le droit de lire toutes les notifications de votre téléphone est une découverte sérieuse.

4. Regardez les applications d’administration de l’appareil

Paramètres, puis Sécurité, puis Applis d’administration de l’appareil. Sur la plupart des téléphones personnels, la liste est vide ou ne contient que Localiser mon appareil. Un profil professionnel peut légitimement afficher l’outil de gestion de votre employeur. Une application inconnue disposant de droits d’administration est à la fois un signal d’alerte et la raison pour laquelle une tentative de désinstallation a pu échouer auparavant.

5. Passez en revue les accès spéciaux des applications

Paramètres, puis Applications, puis Accès spéciaux des applications. Les entrées à lire sont Afficher par-dessus d’autres applis, Accès aux données d’utilisation, Installer des applis inconnues et Accès à tous les fichiers. Les logiciels de surveillance en ont souvent besoin de plusieurs. L’accès aux données d’utilisation, en particulier, révèle quelles applications peuvent voir tout ce que vous ouvrez, et pendant combien de temps.

6. Trouvez les applications absentes de votre écran d’accueil

Une application peut masquer son icône : faire défiler votre écran d’accueil ne prouve donc rien. Allez dans Paramètres, puis Applications, puis Voir toutes les applications, et ouvrez le menu pour afficher les applications système. La liste est longue et l’essentiel est légitime, c’est pourquoi il faut y chercher deux choses précises :

• Deux exemplaires de quelque chose qui ne devrait exister qu’une fois, en particulier une calculatrice, un gestionnaire de fichiers, une application de notes ou un outil système. Le doublon est un déguisement classique.
• Toute application dont vous ne pouvez pas expliquer le nom. Cherchez le nom exact avant de vous affoler, car presque tout ce qui figure dans cette liste est normal, puis vérifiez ses autorisations.

Pendant que vous y êtes, ouvrez le Play Store, touchez votre profil, puis Gérer les applications et l’appareil, puis Gérer, et changez le filtre pour afficher les applications qui n’ont pas été installées par le Play Store. Un logiciel installé en dehors du Play Store n’est pas forcément malveillant, mais sur un téléphone où vous n’installez jamais rien de cette façon, chaque entrée doit avoir une raison d’être.

7. Comparez la batterie et les données avec votre usage du téléphone

Paramètres, puis Batterie, puis l’utilisation de la batterie ; ensuite Paramètres, puis Réseau et Internet, puis la consommation des données mobiles. Vous cherchez une application que vous n’ouvrez jamais en haut de l’une de ces listes, ou des données en arrière-plan qui ne correspondent pas à vos habitudes.

Considérez-le comme le signal le plus faible, exactement comme sur un iPhone. Une batterie vieillissante, une mise à jour du système ou une photothèque qui se synchronise au retour de vacances produisent toutes le même schéma. C’est une raison de regarder de plus près, jamais un verdict.

Pourquoi une application sur le téléphone ne peut pas aller jusqu’au bout

Tout ce qui précède mérite d’être fait et permet de détecter une bonne partie des surveillances réelles. Mais cela comporte trois limites qu’aucun scanner installé sur le téléphone ne peut dépasser.

Les applications ne peuvent toujours pas se lire entre elles. Android est plus ouvert qu’iOS pour lister ce qui est installé, mais une application ne peut pas lire les données privées d’une autre. Un scanner peut vous dire qu’un paquet suspect existe. Il ne peut pas l’ouvrir et vous montrer ce qui a été collecté.

Les logiciels sophistiqués se cachent des écrans que vous venez de vérifier. Tout logiciel ayant obtenu un accès root peut se retirer des listes d’applications, se cacher de Play Protect et survivre à une désinstallation. Une fois qu’un téléphone est rooté, les outils présents sur le téléphone ne sont plus des témoins fiables.

Vous demandez au suspect de fournir son propre alibi. Si l’appareil est compromis en profondeur, chaque réponse qu’il vous donne provient d’un logiciel que l’intrus contrôle peut-être. C’est un problème structurel, et il est le même sur tous les systèmes d’exploitation.

Ce qu’apporte une analyse depuis un ordinateur

Branchez le téléphone à un ordinateur en USB et activez l’accès développeur : un outil externe peut alors recenser chaque paquet installé, lire les journaux du système et comparer le tout à des indicateurs de compromission connus : noms de paquets utilisés par les logiciels de traque commerciaux, domaines que contactent les logiciels de surveillance, combinaisons d’autorisations dont seule la surveillance a besoin.

L’essentiel, c’est l’endroit où l’analyse s’exécute. L’ordinateur ne demande pas au téléphone de s’évaluer lui-même. Il lit le contenu du téléphone et en tire ses propres conclusions, et c’est pourquoi cette méthode est celle qu’utilisent les chercheurs qui publient ce type de travaux. Le Security Lab d’Amnesty International maintient un outil open source, le Mobile Verification Toolkit, qui fait exactement cela pour Android comme pour iOS.

C’est aussi un outil en ligne de commande qui suppose que vous installiez des paquets Python, que vous récupériez une sauvegarde ADB et que vous interprétiez des résultats d’analyse forensique. La méthode est solide et publique ; le problème, c’est la distance entre une personne inquiète et une analyse menée à terme. Réduire cette distance, c’est la raison d’être de Haris Shield, avec la même analyse externe et un rapport écrit pour être lu, pas décortiqué.

Si vous trouvez quelque chose, ne le supprimez pas tout de suite

C’est sur ce point que la plupart des guides se trompent, et c’est plus important que tout ce qui précède.

Si la personne qui vous surveille fait partie de votre entourage, supprimer l’application peut être la chose la plus dangereuse que vous puissiez faire. De nombreux produits préviennent la personne qui les a installés dès que la surveillance s’interrompt. Dans une relation violente ou d’emprise, cette alerte apprend à l’autre personne que vous avez découvert le logiciel, à un moment auquel vous ne vous êtes pas préparé. La Coalition Against Stalkerware, qui réunit des associations de lutte contre les violences conjugales et des entreprises de sécurité, met directement en garde contre ce risque, et ajoute une seconde raison : supprimer l’application supprime aussi les preuves dont vous pourriez avoir besoin si vous vous adressez à la police.

Un ordre plus sûr :

1. Ne changez encore rien sur le téléphone, et ne confrontez personne.
2. Demandez d’abord conseil, depuis un appareil auquel l’autre personne n’a jamais eu accès. Une association spécialisée dans les violences conjugales peut vous aider à planifier l’ordre des étapes.
3. Conservez une trace de ce que vous avez trouvé. Un rapport d’analyse forensique a plus de poids qu’une capture d’écran.
4. Changez vos mots de passe et activez l’authentification à deux facteurs depuis un autre appareil, en commençant par votre compte Google.
5. Décidez de la suppression en dernier, une fois que vous êtes accompagné.

Si personne dans votre entourage n’est une source plausible et que cela ressemble à de la délinquance ordinaire, le calcul est plus simple : mettez Android à jour, supprimez ce que vous avez trouvé, changez votre mot de passe Google, déconnectez les sessions inconnues et envisagez une réinitialisation aux paramètres d’usine sans restaurer une sauvegarde qui risquerait de réinstaller le problème.

Rendre le téléphone plus difficile à cibler

• Choisissez un code de déverrouillage que personne d’autre ne connaît et vérifiez qu’aucune empreinte digitale supplémentaire n’a été enregistrée. Paramètres, puis Sécurité, puis Empreinte digitale. Presque tout commence par un accès physique.
• Laissez Play Protect activé et vérifiez de temps en temps qu’il l’est toujours.
• Installez rapidement les mises à jour, aussi bien celles d’Android que les mises à jour du système Google Play.
• Ne rootez pas le téléphone, et ne laissez personne le faire à votre place.
• Vérifiez les appareils associés à votre compte Google sur myaccount.google.com, car une personne qui connaît votre mot de passe Google n’a besoin d’aucune application sur le téléphone.
• Soyez attentif au partage familial. Un simple partage de position, configuré une fois puis oublié, explique une grande partie de ce que les gens vivent comme une traque.

En bref

Vous pouvez réellement vérifier vous-même un téléphone Android, et vous devriez le faire : Play Protect, services d’accessibilité, accès aux notifications, applications d’administration de l’appareil, accès spéciaux des applications, liste complète des applications y compris les entrées masquées, et consommation de la batterie et des données. Cela couvre la plupart des logiciels de traque commerciaux, car la plupart ont besoin d’autorisations qui apparaissent dans ces écrans.

Ce que cela ne couvre pas, c’est tout logiciel disposant d’un accès root, ou tout ce qui a appris au téléphone à mentir sur lui-même. Pour cela, il faut une analyse depuis l’extérieur de l’appareil.

Et si vous soupçonnez quelqu’un de votre entourage, demandez conseil avant de toucher au moindre réglage. La détection est la partie facile.

Sources

• Coalition Against Stalkerware, informations pour les victimes : stopstalkerware.org/information-for-survivors
• Amnesty International Security Lab, Mobile Verification Toolkit : mvt.re et github.com/mvt-project/mvt
• Google, Play Protect : support.google.com/googleplay/answer/2812853
• Electronic Frontier Foundation, Surveillance Self-Defense : ssd.eff.org

À lire aussi : comment détecter un logiciel espion sur iPhone, logiciels de traque : les signes, et ce qu’il ne faut pas faire, comment savoir si votre téléphone est piraté, les vérifications gratuites qui fonctionnent vraiment et comment supprimer un logiciel espion sans danger.