L’équipe de recherche sur les menaces de NordVPN a mis au jour une vaste campagne de malware Android construite sur de fausses versions d’applications connues de compagnies aériennes et d’administrations, dont Ryanair, Emirates et Qatar Airways, conçues pour prendre entièrement le contrôle du téléphone d’une victime plutôt que de simplement voler un mot de passe. Le directeur technique de l’entreprise l’a formulé sans détour : “Une seule installation, et le téléphone ne vous appartient plus. L’attaquant voit votre écran, lit vos codes SMS, et vide vos comptes de l’intérieur.”
Ce que NordVPN a découvert
L’enquête a duré environ 12 mois et a analysé plus de 100 domaines liés à l’opération. La campagne imite 65 organisations connues au total, couvrant compagnies aériennes, administrations fiscales et systèmes de sécurité sociale, ciblant principalement les utilisateurs d’Asie du Sud-Est, d’Amérique latine et d’Afrique. Les victimes sont attirées via des messages de phishing convaincants, généralement envoyés par SMS ou WhatsApp, les pressant d’installer ce qui ressemble à une application officielle d’une marque de confiance et reconnaissable.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Ce que fait vraiment le malware une fois installé
Une fois que la victime installe la fausse application, elle tourne discrètement en arrière-plan et donne à l’attaquant un niveau d’accès inquiétant : lecture des messages et journaux d’appels, capture d’écrans, enregistrement audio, accès à la caméra, et surtout, interception des codes SMS utilisés pour l’authentification à deux facteurs. Cette dernière capacité est ce qui transforme ça d’une violation intrusive de la vie privée en un vol financier direct : avec les codes à deux facteurs interceptés en temps réel, les attaquants peuvent approuver des transactions bancaires non autorisées et vider les comptes de l’intérieur, en utilisant exactement l’étape de vérification sur laquelle les applications bancaires s’appuient pour prouver qu’une transaction vient bien du titulaire du compte. La capture d’écran et audio en plus de ça signifie que l’attaquant peut aussi observer une victime se connecter à d’autres comptes sans rapport, étendant les dégâts bien au-delà de la banque qui a déclenché l’installation initiale.
Pourquoi spécifiquement les applications aériennes et gouvernementales
Les applications de compagnies aériennes et de services gouvernementaux partagent un trait utile pour les escrocs : ce sont deux catégories de confiance, à forte urgence, avec lesquelles les gens n’hésitent pas à interagir. Un message affirmant un changement de vol, un problème fiscal ou une mise à jour d’allocation a tendance à être ouvert et traité rapidement, sans la même méfiance qu’un lien aléatoire pourrait susciter. La recherche de NordVPN note que la campagne s’appuie spécifiquement sur cette urgence, présentant les liens de téléchargement malveillants comme des communications officielles sensibles au temps plutôt que comme des offres routinières.
Comment se protéger
Les conseils de NordVPN sont simples et valent la peine d’être suivis, que vous pensiez avoir été ciblé spécifiquement ou non. Évitez d’installer une application depuis un lien envoyé par SMS ou WhatsApp, même si le message semble officiel ; les compagnies aériennes et administrations légitimes distribuent leurs applications via Google Play ou l’App Store d’Apple, pas via des liens de téléchargement direct. Traitez tout message exigeant une action urgente, un changement de vol, une échéance fiscale, une suspension d’allocation, comme un signal d’alerte plutôt qu’une raison d’agir vite. Vérifiez le domaine réel de tout lien avant de le toucher ; la campagne a utilisé des domaines de premier niveau suspects comme .cc, .lol, .xyz, .mom et .pw plutôt que les vrais domaines officiels des marques imitées. Et rappelez-vous qu’un cadenas HTTPS dans votre navigateur confirme une connexion chiffrée, pas que le site lui-même est légitime ; les sites d’arnaque peuvent utiliser HTTPS tout aussi facilement que les vrais.
Si vous pensez avoir déjà installé une fausse application
Déconnectez immédiatement votre appareil d’internet, ce qui coupe la capacité de l’attaquant à continuer d’envoyer des commandes ou d’extraire des données. Désinstallez l’application dès que possible. Changez vos mots de passe, en commençant par la banque et l’email, depuis un autre appareil non compromis plutôt que celui que vous soupçonnez d’être infecté. Contactez directement votre banque pour signaler un accès potentiellement non autorisé et surveillez vos comptes de près pendant les semaines suivantes, puisque les attaquants attendent parfois avant d’agir sur un accès volé pour éviter d’attirer l’attention immédiatement. Une réinitialisation d’usine de l’appareil concerné, une fois que vous avez sauvegardé l’essentiel via une méthode propre et vérifiée, est le moyen le plus complet de s’assurer que rien de malveillant ne survit sur le téléphone lui-même.
Où un VPN a sa place, et où il n’en a pas
Ça vaut le coup d’être précis ici : un VPN chiffre votre connexion et masque votre adresse IP, mais il ne vous empêche pas d’installer une application malveillante, et il ne peut pas annuler l’accès que cette application obtient une fois qu’elle tourne sur votre appareil. Ce qui arrête réellement cette menace spécifique, c’est le conseil comportemental ci-dessus : stores officiels uniquement, méfiance envers les messages urgents non sollicités, et vérification des domaines avant de cliquer. Un VPN est une couche complémentaire pour votre sécurité globale, pas une défense contre une application malveillante que vous avez déjà installée vous-même.
Qui est le plus exposé
Le ciblage géographique, Asie du Sud-Est, Amérique latine et Afrique, n’est pas aléatoire. La recherche de NordVPN pointe vers des régions où Android détient une part plus large du marché des smartphones qu’iOS, où l’application des règles des stores contre les sources d’applications tierces ou en sideload peut être moins constante, et où SMS et WhatsApp restent les canaux dominants à la fois pour la communication client légitime et, comme le montre cette campagne, pour la fraude. Rien de tout ça ne rend les utilisateurs ailleurs immunisés. Les mêmes tactiques fonctionnent partout où quelqu’un accepte d’installer une application depuis un lien de SMS plutôt que depuis un store vérifié, une habitude qui vaut la peine d’être abandonnée peu importe où vous vivez.
Pourquoi cette campagne est restée sous le radar aussi longtemps
Douze mois d’enquête et plus de 100 domaines liés, c’est une grosse opération, et une grande partie de ce qui lui a permis de durer aussi longtemps tient au nombre pur de domaines jetables impliqués. Quand un faux site est signalé et fermé, la campagne peut simplement rediriger les victimes vers un autre domaine, fraîchement enregistré, souvent avec un design quasi identique. Ce genre de renouvellement d’infrastructure explique exactement pourquoi les listes noires de domaines individuelles ont du retard sur des campagnes comme celle-ci, et pourquoi les habitudes comportementales, vérifier la source d’un lien plutôt que faire confiance à la page vers laquelle il mène, tiennent mieux la route qu’essayer de garder une liste noire personnelle à jour.
La tendance plus large
Cette campagne s’inscrit dans une tendance plus large que les chercheurs en sécurité ont signalée à plusieurs reprises tout au long de 2026 : les attaquants ciblent de plus en plus directement l’étape d’authentification à deux facteurs, plutôt que d’essayer de voler seulement un mot de passe, puisque les applications bancaires modernes ont rendu le mot de passe seul insuffisant pour la plupart des fraudes. Une application malveillante capable de lire les codes SMS en temps réel neutralise effectivement la protection supplémentaire que l’authentification à deux facteurs est censée apporter, ce qui explique exactement pourquoi ce genre de malware à prise de contrôle totale de l’appareil est plus dangereux que les anciennes pages de phishing plus simples qui ne capturaient que les identifiants de connexion. Un mot de passe volé seul est souvent inutile contre un compte avec l’authentification à deux facteurs activée ; un téléphone entièrement compromis donne à un attaquant les deux moitiés de cette équation à la fois.
C'est une menace de prise de contrôle du téléphone, pas un problème de vie privée de navigation, donc la solution est comportementale : stores officiels uniquement, méfiance envers les liens urgents par SMS et WhatsApp, et vérification des domaines avant de toucher quoi que ce soit. Associez ça à un VPN comme NordVPN pour la sécurité globale de votre connexion, mais ne le confondez pas avec une protection contre une application malveillante que vous avez déjà installée.
À lire aussi : Un VPN protège-t-il du phishing ? Ce qu’il peut faire (et ne peut pas faire) et VPN vs antivirus : deux rôles différents, même ordinateur. Faut-il les deux ?.