Comment savoir si votre téléphone est piraté : les signes qui comptent, et ceux qui ne comptent pas

Toutes les listes de signes d’alerte que vous trouverez sur le sujet commencent par les quatre mêmes éléments : la batterie, la chaleur, les données, la lenteur. Ce sont tous les quatre de vrais symptômes de surveillance d’un téléphone. Mais c’est aussi exactement ce que produisent une batterie de deux ans, une mise à jour du système et une photothèque qui se synchronise au retour de vacances.

C’est un problème, car cela signifie que le conseil le plus répété sur Internet ne permet pas de distinguer un téléphone compromis d’un téléphone qui vieillit normalement. Si vous êtes ici parce que quelque chose vous a mis mal à l’aise, vous entendre dire de surveiller votre batterie ne vous avance pas à grand-chose.

Ce guide répartit donc les signes en deux groupes : ceux qui ont réellement du poids, et ceux que presque tout le monde met en avant mais auxquels vous devriez accorder peu de crédit lorsqu’ils sont isolés.

Les signes qui ont réellement du poids

Chacun d’eux est difficile à expliquer autrement. Un seul suffit pour justifier un examen sérieux.

Une application dotée d’autorisations dont seule la surveillance a besoin

Sur Android, ouvrez Paramètres et vérifiez trois écrans : Accessibilité (services téléchargés), accès aux notifications dans les accès spéciaux des applications, et applis d’administration de l’appareil dans Sécurité. Les logiciels de surveillance commerciaux en ont besoin, car c’est ainsi qu’ils lisent votre écran, vos notifications et ce que vous tapez. Sur un téléphone personnel normal, le premier et le troisième écran sont généralement vides.

Sur iPhone, l’équivalent se trouve dans Réglages, Général, VPN et gestion de l’appareil. Un profil de configuration est un outil légitime pour les employeurs et les établissements scolaires, et l’un des rares moyens autorisés d’installer une surveillance durable sur un iPhone sans exploiter de faille. Sur un téléphone personnel, cet écran devrait être vide.

Les noms qui figurent dans ces listes sont volontairement anodins : System Service, Device Health, Update Manager, Sync Services. Un véritable composant du système n’apparaît pas dans la section des services téléchargés.

Un appareil que vous ne reconnaissez pas sur votre compte

Vérifiez la liste des appareils de votre identifiant Apple (Réglages, puis votre nom) ou votre compte Google sur myaccount.google.com. Une personne connectée à votre compte n’a besoin d’aucun logiciel sur votre téléphone. Elle peut lire vos sauvegardes, vos messages et votre position depuis son propre appareil.

C’est la voie la plus négligée dans tous les guides, et l’une des plus courantes dans la réalité.

Play Protect désactivé alors que vous ne l’avez pas désactivé

Sur Android : Play Store, icône du profil, Play Protect. Il est activé par défaut et vous avertit des applications installées en dehors de la boutique. Le trouver désactivé n’est pas un symptôme ; c’est la preuve d’une décision prise par quelqu’un.

Une notification de menace d’Apple

Apple avertit les utilisateurs qu’elle pense avoir été ciblés par des logiciels espions mercenaires. Connectez-vous sur account.apple.com et cherchez un bandeau.

Une mise en garde qui compte : comme ces avertissements sont effrayants et bien connus, ils sont un déguisement de choix pour les arnaques. Une véritable notification d’Apple ne vous demande jamais de cliquer sur un lien, d’installer quoi que ce soit ni de communiquer un mot de passe. Vérifiez en tapant vous-même account.apple.com.

Des traces de jailbreak ou de rootage

Recherchez Cydia, Sileo ou Zebra sur iPhone, ou un gestionnaire de root sur Android. Leur présence ne prouve pas que vous êtes surveillé, mais elle prouve que quelqu’un a retiré les protections du système d’exploitation, et qu’à partir de là le téléphone n’est plus un témoin fiable sur lui-même.

L’autre personne sait des choses qu’elle ne devrait pas savoir

Ce n’est pas technique, et c’est souvent le signal le plus fort de tous. Si quelqu’un connaît systématiquement l’endroit où vous êtes, vos projets ou le contenu d’une conversation privée, sans aucun moyen ordinaire de le savoir, cela vaut plus que n’importe quel relevé de batterie.

Les signes que tout le monde met en avant, et ce qu’ils valent

Aucun n’est sans valeur. Mais, pris isolément, tous valent beaucoup moins que ce qu’Internet laisse entendre, car chacun a une explication banale plus probable qu’une surveillance.

La batterie se vide plus vite. Les batteries lithium-ion perdent de la capacité à chaque cycle de charge. Au bout d’environ deux ans, une batterie nettement moins performante est le résultat attendu, pas un symptôme. Cela ne mérite votre attention que si le changement a été brutal, sur un téléphone assez récent, sans mise à jour entre-temps.

Le téléphone chauffe alors qu’il ne fait rien. Actualisation des applications en arrière-plan, sauvegarde dans le cloud, indexation après une mise à jour. Les téléphones modernes font beaucoup de choses quand vous ne regardez pas.

Une consommation de données plus élevée. Regardez quelle application est en cause. Si c’est votre service de photos ou une application de streaming qui n’est plus limitée au Wi-Fi, vous avez votre réponse. Les logiciels de surveillance envoient bien des données, mais ce n’est généralement pas eux qui arrivent en tête de cette liste.

Le téléphone semble lent, ou redémarre. Une mise à jour du système d’exploitation sur un appareil ancien produit cet effet de façon systématique.

Des publicités qui surgissent partout. C’est un vrai symptôme, mais celui d’un logiciel publicitaire venu d’une application douteuse, pas d’une surveillance ciblée. Les logiciels de traque (stalkerware) sont conçus pour rester invisibles ; vous montrer des publicités irait à l’encontre de leur objectif.

Des SMS étranges envoyés depuis votre téléphone. Il s’agit généralement soit d’une usurpation de l’expéditeur, auquel cas votre téléphone n’a aucun problème, soit d’une application de fraude aux SMS. Rarement d’une surveillance.

Des bruits bizarres pendant les appels. À ce stade, c’est presque entièrement du folklore, hérité de la téléphonie analogique. La qualité des appels numériques varie pour mille raisons.

Le bilan honnête : si tout ce que vous avez, c’est une batterie moins endurante et un téléphone qui chauffe, l’explication la plus probable est un téléphone qui a deux ou trois ans. Regardez plutôt la première liste.

Ce que vous pouvez vérifier vous-même en dix minutes

1. Les trois écrans d’autorisations sur Android, ou VPN et gestion de l’appareil sur iPhone.
2. La liste des appareils de votre compte, chez Apple comme chez Google.
3. Play Protect sur Android, y compris pour savoir s’il a été désactivé.
4. La liste complète de vos applications, applications système comprises, à la recherche de doublons d’outils ordinaires et de noms que vous n’arrivez pas à identifier. Une application peut masquer son icône : faire défiler l’écran d’accueil ne prouve donc rien.
5. Les autorisations des applications pour la position, le micro, l’appareil photo et les photos, à la recherche d’applications ordinaires dotées d’accès extraordinaires.
6. La batterie et les données, lues comme des éléments d’appoint plutôt que comme un verdict.

Guides pas à pas par plateforme : détecter un logiciel espion sur iPhone et détecter un logiciel espion sur Android.

Pourquoi ces vérifications ont leurs limites

Tout ce que vous pouvez faire depuis le téléphone lui-même se heurte à une limite structurelle.

Sur iPhone, le bac à sable fait qu’aucune application de l’App Store ne peut analyser le système. C’est pourquoi les antivirus pour iPhone ne peuvent pas faire ce que leur fiche laisse entendre : ils vérifient votre Wi-Fi et vous avertissent des sites web malveillants. Sur Android, vous en voyez davantage, mais une application ne peut toujours pas lire les données privées d’une autre, et tout logiciel disposant d’un accès root peut se cacher des écrans mêmes cités plus haut.

Derrière ces deux cas se cache le même problème. On demande à un téléphone compromis de rendre compte de son propre état, au moyen de logiciels que l’intrus contrôle peut-être.

Pour dépasser cette limite, il faut analyser le téléphone depuis l’extérieur. Branchez-le à un ordinateur avec un câble et l’appareil produit une sauvegarde et des données de diagnostic qu’aucune application installée sur le téléphone n’a le droit de lire : journaux de plantage, enregistrements des processus qui ont utilisé le réseau et à quel moment, traces laissées par des logiciels espions connus. Ces éléments peuvent être comparés à des indicateurs de compromission publiés.

C’est ainsi que travaillent les chercheurs qui mettent réellement ces campagnes au jour. Le Security Lab d’Amnesty International publie le Mobile Verification Toolkit, un outil open source qui fait exactement cela, et sur lequel s’est appuyée l’enquête Projet Pegasus. Il est gratuit, réputé, et c’est un outil en ligne de commande qui suppose que vous êtes à l’aise avec Python et les résultats d’analyse forensique.

C’est cet écart que Haris Shield a pour but de combler : une analyse depuis un ordinateur, avec les mêmes indicateurs publics, et un rapport que vous pouvez lire sans terminal. La version actuelle lit le téléphone directement par le câble plutôt que d’analyser une sauvegarde complète ; la page Fonctionnement indique précisément ce qu’elle lit sur iPhone et sur Android.

Si vous trouvez quelque chose, l’ordre compte

C’est la partie la plus importante de cet article, et celle que la plupart des guides passent entièrement sous silence.

Si la personne que vous soupçonnez est un ou une partenaire, un ex, un membre de votre famille ou un employeur, ne supprimez rien pour l’instant. De nombreux logiciels de surveillance préviennent la personne qui les a installés dès qu’ils cessent de fonctionner. Dans une relation d’emprise, cette alerte apprend à l’autre personne que vous avez découvert le logiciel, à un moment qu’elle a choisi et non vous. La Coalition Against Stalkerware, qui réunit des associations de lutte contre les violences conjugales et des entreprises de sécurité, met directement en garde contre ce risque, et souligne que supprimer le logiciel détruit aussi des preuves dont vous pourriez avoir besoin plus tard.

Un ordre plus sûr :

1. Ne changez rien sur le téléphone, et ne confrontez personne.
2. Demandez d’abord conseil, depuis un appareil auquel l’autre personne n’a jamais eu accès.
3. Conservez une trace de ce que vous avez trouvé.
4. Sécurisez vos comptes depuis un autre appareil : l’e-mail d’abord, puis Apple ou Google, puis les messageries et la banque, en vérifiant pour chaque compte l’adresse de récupération et les appareils connectés.
5. Décidez de la suppression en dernier, en étant accompagné.

Notre guide complet consacré à cette situation : logiciels de traque : les signes, et ce qu’il ne faut pas faire.

Si personne dans votre entourage n’est une source plausible, le calcul est plus simple : mettez à jour le système d’exploitation, supprimez ce que vous avez trouvé, changez vos mots de passe depuis un autre appareil et envisagez une réinitialisation aux paramètres d’usine sans restaurer une sauvegarde qui risquerait de réinstaller le problème.

Réduire le risque par la suite

• Un code de déverrouillage que personne d’autre ne connaît, et aucune empreinte digitale ni aucun visage supplémentaire que vous n’auriez pas ajouté. La plupart de ces situations commencent par un accès physique.
• Les mises à jour dès leur sortie. La plupart des intrusions réelles reposent sur des failles déjà corrigées.
• L’authentification à deux facteurs, d’abord sur l’e-mail, car c’est lui qui permet de réinitialiser tout le reste.
• Ni jailbreak ni rootage, et ne laissez personne le faire à votre place.
• Vérifiez les appareils associés à vos comptes tous les deux ou trois mois.
• Réexaminez le partage familial. Un partage de position configuré une fois à une période plus heureuse, puis oublié, explique une grande partie de ce que les gens vivent comme une traque.

En bref

Oubliez les listes de contrôle centrées sur la batterie et la chaleur. Les signes qui justifient d’agir sont : une application disposant d’autorisations d’accessibilité, d’accès aux notifications ou d’administration de l’appareil que vous n’avez pas accordées ; un profil de configuration sur iPhone que vous ne pouvez pas expliquer ; un appareil inconnu sur votre compte Apple ou Google ; Play Protect désactivé ; une notification de menace d’Apple ; des traces de jailbreak ; et quelqu’un qui sait des choses qu’il n’a aucun moyen ordinaire de savoir.

Vous pouvez vérifier tout cela vous-même en une dizaine de minutes. Ce que vous ne pouvez pas faire depuis le téléphone, c’est vérifier le téléphone lui-même. Et si vous trouvez quelque chose et que quelqu’un de votre entourage pourrait en être à l’origine, demandez conseil avant de toucher au moindre réglage.

Sources

• Apple, À propos des notifications de menace d’Apple et de la protection contre les logiciels espions mercenaires : support.apple.com/en-us/102174
• Amnesty International Security Lab, Mobile Verification Toolkit : mvt.re
• Coalition Against Stalkerware, informations pour les victimes : stopstalkerware.org/information-for-survivors
• Google, Play Protect : support.google.com/googleplay/answer/2812853
• Electronic Frontier Foundation, Surveillance Self-Defense : ssd.eff.org
• National Domestic Violence Hotline (États-Unis) : 1-800-799-7233. La Coalition Against Stalkerware recense des associations dans d’autres pays.

À lire aussi : comment détecter un logiciel espion sur iPhone, comment détecter un logiciel espion sur Android, logiciels de traque : les signes, et ce qu’il ne faut pas faire, quelqu’un localise-t-il mon téléphone ? et les signes d’un téléphone sur écoute.