اقرأ بالعربية
Menu
Téléphones

Un fichier APK sur WhatsApp : fausse invitation de mariage ou fausse appli de livraison qui vole vos SMS et votre banque

« Invitation_mariage.apk » ou « Suivi_colis.apk » : ces fichiers installent des applis malveillantes qui lisent vos SMS et volent codes bancaires et compte WhatsApp. Comment réagir.

Publié le 7 min de lecture

Cet article est disponible en arabe

Un message arrive dans le groupe WhatsApp de la famille, depuis le numéro de votre cousin : « Salam, voici l’invitation pour mon mariage, vous êtes les bienvenus. » En dessous, un fichier nommé « Invitation_mariage.apk ». Vous appuyez pour voir la carte ; le téléphone vous demande d’autoriser l’installation d’applications « de sources inconnues ». Vous acceptez, une petite application avec une icône en forme d’engrenage s’installe, puis… rien. Ni carte, ni invitation.

Deux jours plus tard, votre compte WhatsApp envoie des messages à vos amis pour leur demander de l’argent, et une opération que vous n’avez pas faite apparaît sur votre compte bancaire. L’application « vide » lisait vos SMS en silence, codes de vérification compris.

Qu’est-ce qu’un fichier APK, et pourquoi est-ce dangereux ?

APK est le format des fichiers d’installation d’applications sur Android. Quand vous téléchargez une appli sur Google Play, vous installez un APK qui a été analysé. Mais quand un APK vous arrive par WhatsApp, Telegram ou un lien dans un message, vous installez une application qui n’a subi aucun contrôle, envoyée par quelqu’un dont vous ignorez la véritable identité.

La règle de base est simple : une invitation, une photo ou un document PDF n’arrivent jamais sous forme de fichier APK. Une vraie carte est une image ou un PDF, et ne demande aucune installation.

Alerte arnaque

Si le nom du fichier se termine par .apk, c’est une application, pas une image ni un document. Ne l’ouvrez pas, même s’il vient du numéro d’une personne que vous connaissez : son compte a peut-être été volé.

Une vraie campagne : les fausses invitations de mariage

En février 2025, Kaspersky a publié l’analyse d’une campagne de logiciel malveillant baptisée Tria, diffusée sous forme de fausses invitations de mariage via WhatsApp et Telegram, parfois depuis des comptes volés de personnes que les victimes connaissaient. La campagne visait surtout la Malaisie et Brunei, mais la méthode peut être reprise dans n’importe quel pays et n’importe quelle langue.

Selon Kaspersky :

  • L’application se déguise avec une icône ressemblant à celle des Paramètres, pour passer pour une application système.
  • Elle demande notamment les autorisations de lire et d’envoyer des SMS.
  • Elle vole les SMS, les e-mails et le journal d’appels, puis les transmet aux escrocs.
  • Les données volées servent à pirater les comptes WhatsApp et Telegram et à écrire aux contacts pour leur demander de l’argent.
  • Elle peut intercepter les codes de vérification (OTP) reçus par SMS, ce qui met les comptes bancaires en danger, et même supprimer certains messages reçus pour que vous ne remarquiez rien.

D’autres versions du même piège

La même idée revient sous d’autres noms. Tout APK reçu dans une conversation mérite la méfiance, quel que soit son titre :

  • « Suivi_colis.apk » ou « Appli_livraison.apk » : sous prétexte qu’il faut l’appli pour recevoir un colis.
  • « Photos_soirée.apk » ou « Vidéo.apk ».
  • « Carte_aide.apk » ou « Appli_bourse.apk » : sous prétexte d’une inscription à une aide ou une bourse.
  • « Nouvelle_appli_banque.apk » : sous prétexte d’une mise à jour de sécurité de votre banque.

Ces applications sont souvent des chevaux de Troie bancaires : des programmes qui surveillent l’ouverture de votre application bancaire pour afficher par-dessus un faux écran de connexion, ou qui lisent les codes que vous recevez.

Pourquoi ces applis demandent-elles certaines autorisations ?

Un logiciel malveillant a besoin d’autorisations pour fonctionner. Google surveille elle-même un ensemble d’autorisations très prisées des fraudeurs : lire et recevoir les SMS, accéder aux notifications, et les services d’accessibilité. Avec elles, une application peut lire vos codes et espionner votre écran.

C’est pourquoi Google a ajouté à Google Play Protect une « protection renforcée contre la fraude » : quand vous essayez d’installer une application depuis un navigateur ou une messagerie et qu’elle demande ces autorisations sensibles, Play Protect peut bloquer automatiquement l’installation. Selon Google, cette protection couvre désormais 185 marchés et a bloqué 266 millions de tentatives d’installation à risque en 2025. Ne comptez pas uniquement sur elle : elle n’est pas forcément disponible partout ni sur tous les appareils, et les escrocs cherchent toujours à vous convaincre de la désactiver.

Attention

Si quelqu’un, ou un « guide d’installation », vous demande de désactiver Play Protect ou d’ignorer l’avertissement pour installer un fichier, c’est une arnaque certaine. Ne le faites pas.

Les signaux d’alerte

  • Un fichier qui se termine par .apk dans une conversation, même venant d’un proche.
  • Une demande d’activer l’installation depuis des « sources inconnues » ou « autoriser depuis cette source ».
  • Une application sans contenu après installation, ou qui disparaît de l’écran d’accueil.
  • Une icône qui imite une appli système (Paramètres, Mise à jour) apparue soudainement.
  • Une demande d’autorisations pour lire les SMS, l’accessibilité ou l’administration de l’appareil.
  • Des codes OTP qui n’arrivent plus, ou des SMS qui arrivent puis disparaissent.
  • Une batterie qui se vide vite ou une consommation de données inhabituelle.

Comment vous protéger, vous et votre famille

  1. N’installez des applications que depuis Google Play, ou depuis le site officiel de l’éditeur.
  2. Laissez désactivée l’option « sources inconnues » pour WhatsApp, le navigateur et le gestionnaire de fichiers. Sur la plupart des Android : Paramètres > Applications > Accès spécial > Installer des applis inconnues. Le chemin peut varier selon la marque.
  3. Gardez Play Protect activé : ouvrez le Play Store, touchez votre photo de profil, puis Play Protect.
  4. Désactivez le téléchargement automatique des fichiers dans WhatsApp : Paramètres > Stockage et données > Téléchargement automatique des médias, et réglez « Documents » pour qu’ils ne se téléchargent pas automatiquement.
  5. Vérifiez par un appel : si un proche vous envoie un fichier, appelez-le pour lui demander. Si son compte a été volé, vous l’aiderez, lui et les autres.
  6. Analysez le fichier suspect avec VirusTotal, sans l’installer.
  7. Préférez une application d’authentification aux SMS pour la double authentification quand c’est possible, comme le conseille Kaspersky, car ces logiciels savent lire les SMS.
  8. Protégez WhatsApp par la vérification en deux étapes, même si un code SMS est volé. Nous l’expliquons dans le guide WhatsApp piraté.

Que faire si vous avez installé le fichier ?

  1. Coupez la connexion Internet du téléphone (mode avion) pour stopper l’envoi de données.
  2. Appelez immédiatement votre banque, si possible depuis un autre téléphone, pour faire bloquer vos cartes et surveiller le compte. Précisez que votre téléphone est peut-être infecté par un programme qui lit les codes.
  3. Supprimez l’application suspecte : Paramètres > Applications, cherchez une appli inconnue ou une icône Paramètres en double, puis « Désinstaller ». Si le bouton est grisé, l’application est peut-être enregistrée comme « administrateur de l’appareil » : retirez-lui ce statut dans les paramètres de sécurité, puis supprimez-la.
  4. Analysez le téléphone avec Play Protect.
  5. Si vous n’êtes pas sûr du nettoyage, sauvegardez vos photos et fichiers importants, puis réinitialisez le téléphone aux paramètres d’usine.
  6. Depuis un appareil sain, sécurisez vos comptes : WhatsApp (réenregistrez votre numéro et activez la vérification en deux étapes), votre e-mail et vos applications bancaires. Changez vos mots de passe.
  7. Prévenez vos contacts pour qu’ils n’installent pas le même fichier s’il est envoyé en votre nom.
  8. Signalez les faits à la police ou via la plateforme « E-Blagh » (dgsn.gov.ma), surtout si de l’argent a été volé.

Astuce

Apprenez une règle simple à vos parents : « un fichier avec apk dans son nom, on ne l’ouvre pas, on m’appelle ». La plupart des victimes de ce piège ne savent même pas ce qu’est un APK.

L’essentiel à retenir

  • Une invitation, une photo ou un document n’est jamais un fichier APK.
  • N’installez des applis que depuis Google Play ou le site officiel.
  • Ne désactivez pas Play Protect et n’activez pas les « sources inconnues » à la demande de quelqu’un.
  • Si vous avez installé le fichier : mode avion, banque, suppression de l’appli, puis sécurisation des comptes depuis un appareil sain.

Sources