Pièce jointe piégée et APK : le message qui installe quelque chose
La plupart des messages frauduleux cherchent à vous faire saisir des informations sur une fausse page. Une minorité va beaucoup plus loin : elle cherche à faire installer quelque chose sur votre téléphone. C'est le scénario le plus grave, parce qu'il ne vole pas une donnée — il donne à quelqu'un d'autre les clés de l'appareil qui reçoit vos codes de sécurité.
Ce qu'un APK installé hors du store peut faire
Un fichier APK est le format d'installation des applications Android. Rien ne l'interdit en soi — c'est ainsi que fonctionnent les boutiques alternatives — mais l'installer hors d'un magasin d'applications court-circuite toutes les vérifications automatiques, et repose entièrement sur votre confiance dans celui qui vous l'a envoyé.
Une fois installée, l'application demande des autorisations qui paraissent cohérentes avec ce qu'elle prétend être : lire les SMS pour « vérifier votre identité », s'afficher par-dessus les autres applications pour « le mode sécurisé », accéder aux services d'accessibilité pour « faciliter la navigation ». Accordées, ces trois permissions suffisent à tout.
La lecture des SMS livre vos codes de validation bancaire. L'affichage par-dessus les autres applications permet de superposer un faux écran de connexion à votre vraie application bancaire. Les services d'accessibilité, conçus pour les utilisateurs en situation de handicap, permettent de lire l'écran et de simuler des appuis — donc de piloter le téléphone. Le vol devient alors invisible : les opérations partent de votre appareil, avec vos identifiants et vos codes.
Les prétextes qui reviennent
L'application de suivi de colis d'abord, présentée comme nécessaire pour reprogrammer une livraison. La mise à jour de sécurité bancaire ensuite, souvent annoncée par un SMS qui imite votre banque et qui insiste sur l'urgence de « migrer » avant une échéance.
L'application de messagerie sécurisée que vous devriez installer pour lire un message important. Le lecteur de document, quand une pièce jointe prétend être une facture ou un avis d'huissier. Et l'outil d'assistance à distance, quand un faux support technique vous appelle après un message d'alerte.
Sur les fichiers, la ruse la plus courante est la double extension : un fichier nommé « facture.pdf.apk » n'affiche souvent que « facture.pdf » à l'écran, l'extension réelle étant tronquée. Le même procédé s'applique aux archives et aux documents contenant des macros. Le nom qui s'affiche n'est jamais une garantie de ce que le fichier est.
Les règles simples qui suffisent
N'installez jamais une application depuis un lien reçu dans un message, quel qu'en soit l'expéditeur apparent. Une banque, un transporteur ou une administration publie ses applications sur les magasins officiels, et n'a aucune raison de vous en envoyer le fichier — cette règle unique ferme la quasi-totalité de ces attaques.
Sur Android, l'installation hors magasin exige que vous autorisiez explicitement une source inconnue. Cette demande d'autorisation est un point d'arrêt, pas une formalité : si elle apparaît alors que vous pensiez suivre un lien de suivi de colis, c'est que vous n'êtes pas en train de faire ce que vous croyez. Refusez et fermez.
Méfiez-vous enfin de toute demande d'accès aux services d'accessibilité par une application qui n'est pas un outil d'assistance. C'est la permission la plus puissante du système, et aucune application de livraison ou de banque n'en a besoin.
Sur iPhone, un risque différent mais réel
iOS n'autorise pas l'installation d'applications par simple téléchargement, ce qui neutralise le scénario de l'APK. Le risque prend une autre forme : le profil de configuration, un fichier que le système propose d'installer et qui peut modifier les réglages réseau, ajouter des certificats et rediriger votre trafic.
Un profil légitime existe en entreprise ou en établissement scolaire. Un profil proposé par un message non sollicité n'a aucune raison d'être. Vous pouvez vérifier ceux qui sont installés dans Réglages, Général, VPN et gestion de l'appareil, et supprimer ce que vous ne reconnaissez pas.
La seconde voie sur iPhone est la page web qui imite l'interface du système pour vous faire saisir votre identifiant Apple, souvent après une fausse alerte de sécurité. Aucun mot de passe ne se saisit dans une page web arrivée par un lien : sortez et passez par les réglages du système.
Si vous avez déjà installé quelque chose
Coupez la connexion — mode avion — pour interrompre l'exfiltration en cours, puis désinstallez l'application. Si elle refuse la désinstallation, c'est un symptôme connu : redémarrez en mode sans échec sur Android, ce qui désactive les applications tierces, et supprimez-la de là.
Vérifiez ensuite les autorisations accordées récemment, en particulier l'accès aux SMS, l'affichage par-dessus les autres applications et les services d'accessibilité. Retirez tout ce que vous ne reconnaissez pas. En cas de doute persistant sur l'état de l'appareil, une réinitialisation d'usine est la seule garantie réelle.
Considérez surtout que vos codes de validation ont pu être interceptés : appelez votre banque, faites opposition, vérifiez les bénéficiaires ajoutés récemment et changez les mots de passe de votre banque et de votre messagerie depuis un autre appareil. Déposez plainte, et signalez le message au 33700 ainsi que sur cybermalveillance.gouv.fr.
FAQ
Ouvrir le message suffit-il à infecter mon téléphone ?
Non. Lire un SMS ou ouvrir un message ne déclenche aucune installation : il faut télécharger un fichier, puis autoriser explicitement son installation. C'est cette autorisation qui est le vrai point de bascule, et c'est là qu'il faut s'arrêter.
Comment reconnaître un fichier APK déguisé ?
Regardez la fin du nom de fichier, pas son début : « facture.pdf.apk » est une application, pas un document, et l'affichage tronque souvent la vraie extension. Plus simplement, aucune facture, aucun avis et aucun suivi de colis légitime ne s'envoie sous forme d'application à installer.
Pourquoi une application demande-t-elle l'accès aux services d'accessibilité ?
Cette permission permet de lire tout ce qui s'affiche et de simuler des appuis — donc de piloter le téléphone à votre place. Seuls les outils d'assistance en ont un usage légitime. Une application bancaire, de livraison ou de messagerie qui la réclame est un signal d'alerte majeur.
Un iPhone est-il à l'abri ?
Il est protégé du scénario de l'APK, mais pas de tout. Le risque équivalent est le profil de configuration, qui peut rediriger votre trafic, et la fausse page qui imite le système pour capter votre identifiant Apple. Vérifiez les profils installés dans Réglages, Général, VPN et gestion de l'appareil.
Un antivirus mobile règle-t-il le problème ?
Il aide pour les menaces déjà répertoriées, mais il arrive après la décision qui compte. La protection déterminante reste de ne jamais installer d'application venue d'un lien reçu par message, et de refuser les permissions sensibles à une application qui n'a aucune raison d'en avoir besoin.
Sources
À lire aussi
J'ai cliqué sur un lien frauduleux : que faire ?
Vous avez cliqué, peut-être saisi vos informations. Ce qui risque vraiment d'arriver, les gestes à faire dans l'ordre, et à quel moment s'inquiéter.
SMS « votre colis est en attente » : arnaque ou pas ?
Frais de douane, colis bloqué, adresse incomplète : comment distinguer un vrai SMS de livraison d'une arnaque, et que faire si vous avez déjà payé.
Fausse boutique en ligne : reconnaître un site qui n'expédiera jamais
Prix trop bas, paiement par virement, domaine créé le mois dernier : les signaux d'une fausse boutique, et quoi faire si vous avez payé.
Reconnaître un SMS frauduleux
Colis bloqué, amende impayée, compte suspendu : comment repérer un SMS d'arnaque en quelques secondes, que faire du message, et où le signaler.