Logiciels de traque (stalkerware) : les signes, et ce qu’il ne faut pas faire quand vous en trouvez un

La plupart des articles sur la surveillance des téléphones parlent en réalité des États. Celui-ci traite du cas de loin le plus courant : un logiciel de surveillance installé par quelqu’un qui connaît votre code de déverrouillage.

Le problème technique est la partie la plus facile. Un logiciel de traque (stalkerware) n’est pas Pegasus. Il n’a besoin d’exploiter aucune faille, il ne peut généralement pas échapper à une recherche méthodique, et il laisse des traces dans des écrans de réglages ordinaires. Le trouver prend souvent une dizaine de minutes.

La partie difficile, c’est ce que vous faites ensuite, et la réponse honnête est que le supprimer immédiatement peut être le pire choix possible. C’est sur ce point que la plupart des guides se trompent, c’est pourquoi il vient en premier ici.

Lisez ceci avant de fouiller votre téléphone

Si la personne que vous soupçonnez a accès à votre domicile, à vos enfants, à vos finances ou à votre sécurité, l’ordre des étapes compte plus que l’analyse.

De nombreux logiciels de surveillance préviennent la personne qui les a installés lorsqu’ils cessent de fonctionner. Désactiver l’application, révoquer ses autorisations ou réinitialiser le téléphone aux paramètres d’usine peuvent tous envoyer ce signal. Dans une relation d’emprise, le moment où votre surveillance s’éteint est le moment où l’autre personne sait que vous l’avez découverte, et c’est un risque d’escalade documenté, pas une hypothèse. Ce n’est pas pour rien que les associations spécialisées dans les violences conjugales en tiennent compte dans leurs plans.

Supprimer l’application supprime aussi les preuves. Si vous risquez de faire appel à la police, à un avocat ou à un juge aux affaires familiales, ce qui se trouve sur le téléphone en ce moment vaut plus qu’un téléphone nettoyé.

Partez du principe que tout ce que vous faites sur ce téléphone est visible. Cela inclut la lecture de cette page, vos recherches d’aide et tout message que vous envoyez à ce sujet. Si vous avez besoin de vous renseigner ou de demander conseil, utilisez un appareil auquel l’autre personne n’a jamais eu accès : le téléphone d’un ami, un ordinateur professionnel, un poste dans une bibliothèque.

Si l’un de ces points correspond à votre situation, la bonne première étape n’est pas une analyse. C’est une conversation avec des professionnels de ces situations, depuis un appareil qui n’est pas surveillé. Les organisations citées à la fin de cet article existent précisément pour cela, et l’appel est gratuit.

Ce qu’est un logiciel de traque, et ce qu’il n’est pas

Un logiciel de traque, parfois vendu comme outil de contrôle parental ou de surveillance des salariés, est un logiciel commercial qui transmet à une personne l’activité du téléphone d’une autre. Ses capacités habituelles : les messages de toutes les applications, le journal des appels, l’historique des positions, les photos, l’historique de navigation, les frappes au clavier et, pour certains produits, le micro et l’appareil photo.

Deux choses le distinguent des logiciels espions mercenaires qui font les gros titres.

Il a besoin d’un accès, pas d’une faille. Quelqu’un doit tenir votre téléphone déverrouillé pendant quelques minutes, ou connaître le mot de passe de votre identifiant Apple ou de votre compte Google. C’est toute l’attaque. Cela signifie aussi que la liste des personnes possibles est courte, et que vous savez probablement déjà qui y figure.

Il figure souvent sur la même facture de téléphone que vous. La personne qui vous surveille contrôle peut-être le compte, le forfait familial, le stockage en ligne ou l’appareil lui-même. Le problème technique s’inscrit dans une relation, et c’est pourquoi la solution technique est rarement la première chose à faire.

Si votre inquiétude porte plutôt sur un gouvernement ou un attaquant disposant de gros moyens, le problème se présente autrement, et notre guide pour vérifier si Pegasus est sur votre iPhone traite ce cas.

Comment il arrive sur un téléphone

• Un accès physique. De loin le cas le plus courant. Sur Android, quelques minutes avec un téléphone déverrouillé suffisent. Sur iPhone, cela passe généralement par l’installation d’un profil de configuration ou l’activation d’une fonction de partage.
• Votre compte cloud. Aucune application n’est nécessaire. Une personne qui connaît le mot de passe de votre identifiant Apple ou de votre compte Google peut lire vos sauvegardes, vos messages, vos photos et votre position depuis son propre appareil. C’est la voie la plus négligée, et la plus difficile à remarquer.
• Des fonctions légitimes restées activées. Le partage de position familial, Localiser, Google Family Link, les rapports de temps d’écran, les agendas partagés. Configurées une fois, à une période plus heureuse, et jamais réexaminées, elles sont la première cause des cas où des personnes se sentent, à juste titre, suivies sans qu’aucun logiciel malveillant soit présent nulle part.
• Un appareil offert ou partagé. Un téléphone acheté et configuré par quelqu’un d’autre est peut-être surveillé depuis le jour où vous l’avez reçu.

Les signes, et ce que vaut chacun

Aucun signe ne prouve quoi que ce soit à lui seul. Plusieurs signes réunis, dans une situation où quelqu’un a eu l’accès, méritent d’être pris au sérieux.

Les signes qui ont un vrai poids

• Une application que vous n’avez pas installée dans vos services d’accessibilité, votre accès aux notifications ou votre liste d’administrateurs de l’appareil. Sur Android, c’est presque une preuve.
• Un profil de configuration sur iPhone que vous ne pouvez pas expliquer, dans Réglages, Général, VPN et gestion de l’appareil.
• Un appareil connecté à votre identifiant Apple ou à votre compte Google qui n’est pas le vôtre.
• Play Protect désactivé sur Android alors que vous ne l’avez pas désactivé.
• L’autre personne sait des choses qu’elle n’avait aucun moyen ordinaire de savoir, en particulier l’endroit où vous êtes ou le contenu d’un message privé.

Les signes à noter, mais qui s’expliquent facilement autrement

• La batterie se vide plus vite qu’avant.
• Le téléphone chauffe alors qu’il ne fait rien.
• La consommation de données est plus élevée que prévu.
• Le téléphone est lent, ou redémarre tout seul.

Ce sont ces quatre signes que la plupart des articles mettent en avant, et ce sont aussi ceux que produisent une batterie vieillissante, une mise à jour du système et une sauvegarde de photos. Ne fondez pas votre conclusion sur eux.

Vérifier un iPhone

À cause du bac à sable d’iOS, aucune application de l’App Store ne peut analyser le système : les vérifications se font donc à la main.

1. Réglages, Général, VPN et gestion de l’appareil. Sur un téléphone personnel, il est normal que cet écran soit vide.
2. La liste des appareils de votre identifiant Apple. Réglages, votre nom en haut de l’écran. Retirez tout ce que vous ne connaissez pas, en gardant à l’esprit la mise en garde ci-dessus.
3. Réglages, Confidentialité et sécurité, puis Service de localisation, et séparément les entrées Micro, Appareil photo et Photos. Cherchez des applications ordinaires dotées d’accès extraordinaires.
4. Localiser, et tout partage familial. Vérifiez qui peut vous voir.
5. Recherchez Cydia, Sileo ou Zebra. Leur présence signifie que quelqu’un a retiré les protections d’Apple du téléphone.

Le guide complet se trouve dans comment détecter un logiciel espion sur iPhone.

Vérifier un téléphone Android

Android vous en montre davantage, et les trois autorisations qui comptent sont toutes visibles :

1. Paramètres, Accessibilité, services téléchargés. C’est là que se loge l’enregistrement des frappes.
2. Accès aux notifications, dans les accès spéciaux des applications.
3. Applis d’administration de l’appareil, dans Sécurité.
4. La liste complète des applications, applications système comprises, à la recherche de doublons d’outils ordinaires et de noms que vous n’arrivez pas à identifier.
5. Play Protect, y compris pour savoir s’il a été désactivé.

La version détaillée se trouve dans comment détecter un logiciel espion sur Android.

Les cinq erreurs à éviter

1. Le supprimer dès que vous le trouvez. C’est la réaction la plus courante et la plus dangereuse, pour les deux raisons exposées au début de cet article.

2. Confronter la personne. Cela met fin à toute possibilité de documenter ce qui s’est passé et, dans une situation de violence, cela augmente le risque pour vous. Demandez d’abord conseil.

3. Réinitialiser le téléphone tout de suite. Cela détruit les preuves, peut alerter l’autre personne et, si vous restaurez une sauvegarde qu’elle contrôle, vous risquez de réinstaller la surveillance dès le premier jour sur votre téléphone tout propre.

4. Changer vos mots de passe depuis le téléphone suspect. S’il y a un enregistreur de frappe sur l’appareil, vous venez de livrer le nouveau mot de passe. Utilisez un autre appareil.

5. Faire vos recherches sur le téléphone surveillé. Les recherches, les pages consultées et les messages sont précisément ce que ce logiciel transmet. Cette page comprise.

Un ordre d’action plus sûr

1. Demandez d’abord conseil, depuis un appareil que l’autre personne n’a jamais touché. C’est gratuit, confidentiel, et assuré par des personnes qui gèrent ces situations au quotidien.
2. Conservez des preuves avant de changer quoi que ce soit. Un rapport d’analyse forensique issu d’une analyse externe vaut bien plus qu’une photo d’un écran de réglages, et il est lisible par un avocat ou un policier qui n’est pas technicien.
3. Sécurisez vos comptes depuis un autre appareil, dans cet ordre : l’e-mail d’abord, car c’est lui qui permet de réinitialiser tout le reste, puis votre identifiant Apple ou votre compte Google, puis les messageries et la banque. Activez l’authentification à deux facteurs au fur et à mesure, et vérifiez pour chaque compte la liste des appareils connectés et les adresses de récupération. Une adresse e-mail ou un numéro de téléphone de récupération appartenant à l’autre personne lui rend directement l’accès au compte.
4. Planifiez la suppression en étant accompagné, et décidez en connaissance de cause si le téléphone doit être nettoyé, remplacé, ou laissé tel quel pour l’instant. Parfois, un second téléphone, privé, est la solution la plus sûre pendant que le premier continue de paraître normal.
5. Ensuite, nettoyez l’appareil, si c’est toujours la bonne décision : mettez à jour le système d’exploitation, supprimez ce qui a été trouvé et réinitialisez le téléphone sans restaurer de sauvegarde suspecte.

Une détection digne de confiance

Il y a une raison structurelle d’analyser un téléphone depuis l’extérieur. Tout scanner qui fonctionne sur l’appareil demande à un système peut-être compromis de rendre compte de son propre état, et tout logiciel disposant d’un accès profond peut mentir. Une analyse depuis un ordinateur, par câble, ne dépend pas de la coopération du téléphone : elle lit le contenu du téléphone, aboutit à ses propres conclusions et produit un document que vous pouvez remettre à quelqu’un d’autre.

C’est ce que fait Haris Shield. Il fonctionne sur votre ordinateur, examine le téléphone par USB et produit un rapport PDF que vous pouvez remettre à un avocat, à un policier ou à un travailleur social, plutôt qu’une capture d’écran d’une page de réglages.

Si vous voulez le même type d’analyse sans passer par un produit, le Mobile Verification Toolkit d’Amnesty International est open source et réputé, et c’est ce qu’utilisent réellement les chercheurs qui publient ce type de travaux. C’est un outil en ligne de commande.

Où trouver de l’aide

• Coalition Against Stalkerware — des conseils rédigés pour les victimes, et un annuaire des organisations membres : stopstalkerware.org
• National Network to End Domestic Violence, Safety Net — plan de sécurité numérique : techsafety.org
• Refuge (Royaume-Uni) — aide face aux violences liées aux technologies : refuge.org.uk
• Access Now Digital Security Helpline — gratuite, pour les personnes particulièrement exposées : accessnow.org/help
• Electronic Frontier Foundation, Surveillance Self-Defense : ssd.eff.org

Si vous êtes en danger immédiat, appelez le numéro d’urgence de votre pays plutôt que de suivre une liste de vérifications.

En bref

Un logiciel de traque est plus facile à trouver qu’un logiciel espion mercenaire, car il a besoin d’autorisations qui apparaissent dans des écrans de réglages ordinaires : services d’accessibilité, accès aux notifications et administration de l’appareil sur Android ; profils de configuration, appareils du compte et fonctions de partage sur iPhone. La voie du compte cloud ne nécessite aucune application, et c’est elle qui passe le plus souvent inaperçue.

L’analyse n’est pas la partie difficile. C’est l’ordre qui l’est. Si quelqu’un de votre entourage est peut-être derrière tout cela, demandez conseil avant de modifier un réglage, conservez des preuves avant de supprimer quoi que ce soit, et sécurisez vos comptes depuis un appareil qui n’a jamais été entre ses mains.

Sources

• Coalition Against Stalkerware, informations pour les victimes : stopstalkerware.org/information-for-survivors
• National Network to End Domestic Violence, projet Safety Net : techsafety.org
• Amnesty International Security Lab, Mobile Verification Toolkit : mvt.re
• Electronic Frontier Foundation, Surveillance Self-Defense : ssd.eff.org

À lire aussi : quelqu’un localise-t-il mon téléphone ? et comment supprimer un logiciel espion sans danger.