اقرأ بالعربية
Menu
Téléphones

Les autorisations dangereuses des applis (surtout l’accessibilité) et les fausses applis, même sur les boutiques officielles

Une appli « lecteur PDF » de Google Play devient des semaines plus tard un voleur de comptes bancaires. Comment l’accessibilité est détournée, et comment vérifier les autorisations de vos applis.

Publié le 8 min de lecture

Cet article est disponible en arabe

Nadia avait besoin d’une application pour ouvrir un PDF envoyé par l’administration. Sur Google Play, elle trouve « Document Viewer », bien noté et téléchargé des milliers de fois. Elle l’installe : tout fonctionne normalement. Quelques semaines plus tard, l’appli réclame une « mise à jour indispensable », puis demande d’activer le « service d’accessibilité pour améliorer les performances ». Elle accepte.

À partir de ce moment, l’application voit tout ce qui s’affiche sur son écran et peut appuyer sur les boutons à sa place. Quand elle ouvre son application bancaire, un message « maintenance programmée » apparaît, pendant que l’appli malveillante agit en arrière-plan.

Ce scénario s’inspire d’une vraie campagne observée en 2025. La leçon est double : même les boutiques officielles ne sont pas sûres à 100 %, et certaines autorisations donnent à une application un contrôle quasi total de votre téléphone.

L’autorisation « accessibilité » : la clé en or

Les services d’accessibilité ont été conçus pour aider les personnes en situation de handicap : lire l’écran à voix haute pour les personnes aveugles, ou piloter le téléphone pour qui a du mal à toucher l’écran. Pour remplir ce rôle, ils ont besoin de capacités très puissantes. Selon l’aide de Google, une application qui dispose de cette autorisation peut lire votre écran et agir dans d’autres applications à votre place.

Ce sont exactement les capacités dont rêve un escroc :

  • Tout lire à l’écran : vos mots de passe pendant que vous les tapez, vos messages, vos soldes, vos codes de vérification.
  • Appuyer à votre place : valider des opérations, s’accorder d’autres autorisations, ou vous empêcher de la supprimer.
  • Afficher de faux écrans par-dessus l’application bancaire pour voler vos identifiants.

En novembre 2025, Malwarebytes a décrit un logiciel malveillant Android déguisé en application d’actualités ou d’identité numérique, qui demande l’autorisation d’accessibilité sous prétexte « d’améliorer l’application », puis s’en sert pour lire l’écran, appuyer sur les boutons et remplir les formulaires, afficher de fausses pages de connexion par-dessus les applis bancaires et de cryptomonnaies, et même couper les notifications pour que la victime ne remarque rien.

Alerte arnaque

Une appli qui réclame « l’accessibilité » alors que ce n’est pas un outil d’aide aux personnes handicapées (lecteur d’écran, outil de contrôle…) = danger majeur. Une appli d’actualités, de PDF, une lampe torche ou un jeu n’en ont jamais besoin.

De fausses applis… dans les boutiques officielles

Oui, cela arrive. En juillet 2025, la société de sécurité ThreatFabric a repéré sur Google Play une application nommée « Document Viewer – File Reader », téléchargée plus de 50 000 fois. Elle était saine au départ ; environ six semaines après sa publication, ses auteurs lui ont envoyé une mise à jour qui téléchargeait Anatsa, un cheval de Troie bancaire. Il surveillait l’ouverture des applis bancaires et affichait par-dessus un faux message de « maintenance programmée » qui empêchait la victime d’accéder à son compte, pendant qu’il agissait en arrière-plan. L’appli a ensuite été retirée de la boutique.

Autrement dit, de bonnes notes et un grand nombre de téléchargements ne suffisent pas. Les boutiques officielles restent toutefois bien plus sûres que les fichiers reçus dans des conversations :

  • Google indique avoir empêché la publication de plus de 1,75 million d’applications non conformes sur Google Play en 2025, et banni plus de 80 000 comptes de développeurs qui tentaient de publier des applis malveillantes.
  • Apple indique que l’App Store a rejeté plus de 2 millions d’applications sur environ 9,1 millions de soumissions en 2025, et retiré près de 59 000 applis pour la technique de « l’appât et du changement », c’est-à-dire une appli inoffensive dont le comportement change après validation.

Comment Google et Apple protègent les utilisateurs

  • Sur Android 13 et plus : le système verrouille certains réglages sensibles, comme l’accessibilité, pour certaines applications que vous installez : ce sont les « paramètres restreints ». Vous ne pouvez les activer qu’en allant vous-même sur la page de l’application et en choisissant « Autoriser les paramètres restreints ». Google avertit que cela permet à l’appli d’accéder à des informations sensibles et déconseille de le faire si vous ne faites pas confiance au développeur.
  • Sur Android 16 : les applications de banque et de paiement peuvent masquer leurs écrans sensibles aux applis qui utilisent l’accessibilité sans être de vrais outils d’aide aux personnes handicapées, comme Google l’a annoncé en décembre 2025.
  • Play Protect analyse les applications et supprime ou désactive ce qu’il détecte comme malveillant.

Attention

Si quelqu’un, ou un « guide », vous demande d’aller dans les paramètres d’une appli et d’appuyer sur « Autoriser les paramètres restreints », c’est précisément ce que cette protection est censée empêcher. Arrêtez-vous.

Les autorisations qui méritent la méfiance

AutorisationPourquoi elle est sensible
AccessibilitéLire l’écran et contrôler le téléphone
Lecture des SMSLire les codes de vérification bancaires
Accès aux notificationsLire les codes et messages affichés en notification
Administrateur de l’appareilEmpêcher la suppression de l’appli
Affichage par-dessus les autres applisAfficher de faux écrans sur l’appli bancaire
Accès complet aux fichiersConsulter vos photos et documents

La question à toujours se poser : cette application a-t-elle besoin de cette autorisation pour faire son travail ? Une appli photo a besoin de l’appareil photo. Une appli PDF n’a pas besoin de vos SMS.

Pas à pas : vérifiez les autorisations de vos applis

Sur Android

  • Par type d’autorisation : Paramètres > Sécurité et confidentialité > Confidentialité > Gestionnaire d’autorisations. Choisissez par exemple « SMS » et voyez quelles applis y ont accès.
  • Par application : Paramètres > Applications > choisissez l’appli > Autorisations, et retirez ce qui n’est pas nécessaire.
  • Accessibilité : Paramètres > Accessibilité, puis la rubrique « Applications installées » ou « Applications téléchargées ». Chaque appli activée ici doit être connue et totalement fiable.
  • Tableau de bord Confidentialité : sur Android 12 et plus, il montre quelles applis ont utilisé quelle autorisation, et quand.

Les noms et chemins varient un peu selon la marque et la version du système, comme le précise Google.

Sur iPhone

  • Réglages > Confidentialité et sécurité : chaque type d’autorisation (photos, localisation, appareil photo, micro…) y est listé avec les applis qui en disposent.

Astuce

Avant de télécharger une application, même depuis la boutique officielle : vérifiez le nom du développeur (correspond-il à la vraie entreprise ?), lisez les avis négatifs récents et pas seulement la note moyenne, et méfiez-vous des applis qui demandent des autorisations sans rapport avec leur fonction. Pour les applis bancaires, téléchargez-les uniquement depuis le lien du site officiel de votre banque.

Si une application vous paraît suspecte

  1. Coupez immédiatement son autorisation d’accessibilité dans les réglages d’accessibilité.
  2. Supprimez l’application. Si le téléphone refuse, elle est peut-être « administrateur de l’appareil » : cherchez « Applis d’administration de l’appareil » dans les paramètres de sécurité, retirez-lui ce droit, puis supprimez-la.
  3. Analysez le téléphone avec Play Protect.
  4. Appelez votre banque si vous avez ouvert son application pendant que l’appli suspecte était installée, et changez vos mots de passe depuis un autre appareil.
  5. Si vous n’êtes pas sûr du nettoyage, sauvegardez vos fichiers et réinitialisez le téléphone aux paramètres d’usine.
  6. Signalez l’application dans la boutique (page de l’appli > Signaler), et signalez les faits à la police ou via la plateforme « E-Blagh » (dgsn.gov.ma) si de l’argent a été volé.

À lire aussi : les fichiers APK malveillants sur WhatsApp et les réglages de sécurité cachés du téléphone.

L’essentiel à retenir

  • Accessibilité = contrôle quasi total du téléphone. Ne l’accordez qu’à des outils que vous connaissez.
  • Les boutiques officielles sont plus sûres, mais pas infaillibles.
  • Passez en revue le gestionnaire d’autorisations et la liste d’accessibilité tous les quelques mois.
  • N’appuyez jamais sur « Autoriser les paramètres restreints » à la demande de quelqu’un.
  • Applis bancaires : uniquement via le lien du site officiel de la banque.

Sources