Une application VPN demande beaucoup de confiance. Elle se place entre votre téléphone et Internet, et on l'installe souvent dans la précipitation : avant un voyage, après une actualité, ou parce qu'un ami a envoyé un lien dans une discussion. Les criminels le savent, et le « VPN gratuit » est l'un des déguisements qu'ils utilisent pour diffuser des logiciels malveillants.

Cet article examine un cas documenté, explique pourquoi les applications installées hors des boutiques officielles concentrent l'essentiel du risque, et propose une liste de signaux d'alerte à passer en revue avant d'appuyer sur « Installer ».

Un cas réel : une appli « TV + VPN » qui vidait les comptes bancaires

Fin septembre 2025, la société de sécurité Cleafy a publié ses recherches sur un nouveau cheval de Troie bancaire Android baptisé Klopatra. Il se propageait via une application se faisant passer pour un service IPTV gratuit doté d'un VPN intégré. Malwarebytes, qui a relayé ces travaux le 9 octobre 2025, l'a décrite non comme un vrai VPN mais comme une application malveillante installée en dehors des boutiques, qui donnait aux attaquants le contrôle total et à distance des téléphones infectés pour voler des identifiants et effectuer des transactions frauduleuses.

Les constats de Cleafy montrent comment fonctionnait le piège :

  • L'appât, c'était la télé gratuite. Les personnes habituées à récupérer des applis de streaming non officielles sur des sites plutôt que dans les boutiques acceptaient de l'installer en dehors de Google Play.
  • Un installateur d'apparence anodine. La première application affichait un écran simple avec un bouton « continuer l'installation ». Il renvoyait l'utilisateur vers les réglages Android pour autoriser l'installation d'applications inconnues, puis installait en silence le vrai logiciel malveillant.
  • L'accessibilité était la clé. Le malware demandait ensuite l'accès aux services d'accessibilité, que Cleafy juge essentiel à son succès. Avec cet accès, il pouvait toucher tout seul « Autoriser » ou « OK » dans les autres demandes d'autorisation.
  • Il agissait pendant votre sommeil. Les opérateurs préféraient agir la nuit, téléphone en charge et écran éteint, et pouvaient afficher un écran noir par-dessus tout pour que l'appareil semble éteint pendant qu'ils le pilotaient à distance.

Selon Cleafy, l'opération avait compromis plus de 3 000 appareils au moment de son analyse (le rapport fait aussi état de plus de 1 000 victimes confirmées), principalement en Espagne et en Italie, et les chercheurs avaient suivi plus de 40 versions depuis mars 2025.

Pourquoi les applis installées hors boutique concentrent le risque

Le « sideloading » consiste à installer un fichier d'application (un APK sur Android) depuis un site, une discussion, un lien de partage de fichiers ou une publicité, au lieu d'une boutique officielle. Ce n'est pas toujours dangereux, et certains développeurs sérieux proposent un téléchargement direct. Mais cela supprime plusieurs filets de sécurité :

  • Pas d'examen par la boutique. Les boutiques officielles examinent les applis avant publication et peuvent les retirer en cas de problème.
  • Pas d'éditeur clairement identifié. Un fichier reçu dans une discussion peut prétendre être n'importe quoi. Difficile de savoir qui l'a fait.
  • Pas de mises à jour fiables. Une fausse appli peut télécharger plus tard du code supplémentaire ou vous demander d'installer des « mises à jour » depuis la même source.

Les fausses applis circulent aussi via des sites sosies au nom proche d'une vraie marque, via des publicités dans les résultats de recherche et via des messages promettant une « version premium gratuite ».

Liste des signaux d'alerte

Arrêtez-vous et réfléchissez si vous voyez l'un de ces signes :

  • L'appli n'est pas dans une boutique officielle, et le lien vient d'une discussion, d'un forum, d'une fenêtre surgissante ou d'une publicité.
  • Elle vous demande d'autoriser « Installer des applis inconnues » pendant la configuration. Une appli VPN installée depuis Google Play n'a pas besoin d'installer d'autres applis. Si vous installez notre appli Android à partir de l'APK direct, téléchargez-la uniquement sur vpnrice.com : c'est votre navigateur, et non l'appli VPN, qui demande l'autorisation d'installer.
  • Elle demande l'accès aux services d'accessibilité. Malwarebytes conseille de se demander pourquoi une appli veut contrôler votre appareil, vos réglages ou l'accessibilité, ou installer d'autres applis. Un VPN n'a pas besoin de lire votre écran.
  • Elle promet trop : chaînes payantes gratuites, fonctions premium « piratées », ou VPN fourni avec quelque chose qui n'a rien à voir.
  • Le nom de l'éditeur ne correspond pas à la marque, ou le développeur n'a ni site web, ni politique de confidentialité, ni adresse de contact.
  • Les avis semblent faux : beaucoup d'avis cinq étoiles très courts publiés en même temps, ou des avis récents qui parlent de publicités, de batterie qui se vide ou de prélèvements étranges.
  • Le site est une quasi-copie d'un vrai, avec un nom de domaine légèrement différent.

Les bons réflexes de téléchargement

Passez par la boutique officielle ou le site du développeur

Installez les applis VPN depuis Google Play, l'App Store ou le site officiel du fournisseur, comme le conseille aussi Malwarebytes. Si vous tapez l'adresse vous-même au lieu de cliquer sur une publicité, vous évitez la plupart des sites sosies.

Vérifiez l'éditeur et les détails

Sur la fiche de la boutique, regardez le nom du développeur, le lien vers le site officiel, la politique de confidentialité et l'historique des mises à jour. Depuis janvier 2025, Google Play affiche un badge « Verified » sur les applis VPN qui ont passé un contrôle de sécurité indépendant appelé MASA Level 2, selon le blog Android Developers. Il ne rend pas une appli parfaite, mais c'est un indice utile.

Lisez les autorisations avant d'accepter

Une appli VPN demandera à configurer une connexion VPN ; Android affiche pour cela une fenêtre système. Elle peut demander à afficher des notifications. Les demandes d'accessibilité, de SMS, de contacts ou d'installation d'autres applis doivent avoir une très bonne raison.

Faites les mises à jour

Gardez Android, vos applis et vos logiciels de sécurité à jour, pour que les failles connues soient corrigées.

Si vous pensez avoir installé une fausse appli

  1. Coupez la connexion Internet du téléphone (activez le mode avion).
  2. Désinstallez l'appli. Si elle refuse de partir, cherchez dans les réglages les entrées d'accessibilité et d'administrateur de l'appareil et désactivez-les d'abord.
  3. Lancez une analyse avec une appli de sécurité de confiance.
  4. Depuis un autre appareil, sain, changez vos mots de passe bancaires et de messagerie, et contactez votre banque si vous remarquez quoi que ce soit d'inhabituel.
  5. Activez la validation en deux étapes sur vos comptes importants.

Où obtenir VPNRice

Si vous utilisez VPNRice, téléchargez-le uniquement depuis les fiches officielles des boutiques ou depuis notre site : Android, Android TV et iPhone et iPad. Nos pages de téléchargement renvoient vers les sources officielles : inutile de faire confiance à des fichiers qui circulent dans les discussions. L'appli VPNRice pour Android ne demande ni l'accès à l'accessibilité ni l'autorisation d'installer d'autres applis.

À retenir

  • VPN gratuit et télé gratuite sont des déguisements fréquents pour les malwares, surtout hors des boutiques officielles.
  • Une demande « Installer des applis inconnues » ou d'accessibilité venant d'une appli VPN ou TV est un signal d'alarme.
  • Vérifiez l'éditeur, le site, la politique de confidentialité, les avis et, sur Google Play, le badge Verified.
  • En cas de doute, désinstallez, analysez et changez vos mots de passe depuis un autre appareil.