Fausses applis VPN : repérer celles qui volent vos données
Un VPN faux ou mal conçu peut voir votre trafic, utiliser votre connexion ou installer des logiciels malveillants. Ces trois cas sont documentés.
Cet article distingue trois cas réels et explique comment repérer une application douteuse avant de l’installer. Les cas concernent Android et les sources datent de 2024 et 2025.
Trois façons dont un « VPN » peut vous nuire
Ce ne sont pas les mêmes cas, et il vaut mieux ne pas les confondre. Tous ne concernent pas un vol d’argent.
| Cas | Ce qu’il fait | Comment il arrive sur le téléphone | Source |
|---|---|---|---|
| Utilise votre connexion | Fait passer le trafic d’autres personnes par votre appareil | Applications VPN gratuites | Kaspersky, 2024 |
| Installe un cheval de Troie bancaire | Prend le contrôle du téléphone et effectue des opérations frauduleuses | Application installée hors de Google Play | Cleafy, 2025 |
| Propriétaires cachés et failles | Chiffrement faible et propriétaires peu clairs | Boutique d’applications | Citizen Lab, 2025 |
1. Un VPN qui utilise votre connexion
En novembre 2024, Kaspersky a expliqué que plusieurs VPN gratuits avaient servi à créer un botnet, 911 S5. Les autorités l’ont démantelé en mai 2024.
Celui qui les installait transformait son appareil en serveur proxy qui faisait transiter le trafic d’autres personnes. Les administrateurs vendaient cet accès à d’autres criminels. Ils l’utilisaient pour des cyberattaques, du blanchiment d’argent et des fraudes de masse.
Cette communication ne mentionne pas le vol des données bancaires de ceux qui installaient l’application. Le risque était autre : votre connexion servait à commettre des délits.
2. Un VPN qui installe un cheval de Troie bancaire
En septembre 2025, Cleafy a décrit un cheval de Troie bancaire pour Android. Il arrivait avec une application de télévision par internet qui incluait un VPN.
Elle ne se téléchargeait pas depuis Google Play. Elle demandait l’autorisation d’installer des applications inconnues et d’activer les services d’accessibilité. Ces services peuvent lire l’écran et appuyer sur des boutons.
Les attaquants prenaient ainsi le contrôle du téléphone et effectuaient des opérations frauduleuses. Selon Cleafy, l’Espagne et l’Italie étaient les pays les plus touchés.
3. Un VPN de la boutique aux propriétaires cachés
En août 2025, des chercheurs de Citizen Lab et de l’Arizona State University ont analysé des VPN très téléchargés. Sur Google Play, ils ont trouvé trois familles d’applications liées entre elles, avec plus de 700 millions de téléchargements.
Dans deux de ces familles, toutes les applications partageaient un mot de passe écrit dans leur code. Selon l’étude, quelqu’un qui écoute le réseau pourrait déchiffrer les communications de tous les utilisateurs.
L’étude ne dit pas que tous les VPN de la boutique sont ainsi. Elle montre en revanche qu’une boutique officielle ne suffit pas.
Dans son avis de novembre 2025, Google explique que certaines applications se font passer pour des VPN légitimes. Elles installent des logiciels malveillants. Ceux-ci volent l’historique de navigation, les messages, les identifiants financiers et les données de portefeuilles de cryptomonnaies.
Signes d’une application VPN douteuse
Un seul signe ne prouve rien. Plusieurs à la fois sont une raison de ne pas l’installer.
| Signe | Pourquoi c’est important | Source |
|---|---|---|
| Elle demande des autorisations sans rapport | L’INCIBE conseille de se méfier des accès à des données sans lien avec le service | INCIBE |
| Vous ne savez pas qui l’a conçue | L’INCIBE recommande de se renseigner sur le fournisseur et de lire sa politique de confidentialité | INCIBE |
| Elle est gratuite et n’explique pas comment elle gagne de l’argent | Les VPN gratuits se financent souvent avec les données des utilisateurs | INCIBE |
| On vous demande de l’installer hors de la boutique officielle | Google recommande de ne télécharger les VPN que depuis des sources officielles. Le cas de Cleafy s’installait hors de Google Play | Google, Cleafy |
| Elle demande d’activer l’accessibilité ou d’installer d’autres applications | Avec ces autorisations, une application peut lire l’écran et appuyer sur des boutons à votre place | Cleafy |
Comment vérifier un VPN avant de l’installer
Évitez les liens de publicités, de messages ou de sites web. Google conseille de se méfier des offres gratuites et de ne pas installer d’applications inconnues.
Regardez le développeur, son site web et sa politique de confidentialité. Elle doit indiquer quelles données sont collectées et avec qui elles sont partagées.
Depuis janvier 2025, Google Play marque « Verified » les VPN qui passent une évaluation de sécurité indépendante. C’est la MASA niveau 2. C’est une aide, pas une garantie.
Un VPN n’a pas besoin, par exemple, de vos contacts ni de vos messages. S’il les demande, ne l’installez pas.
S’il est gratuit, cherchez de quoi il vit. S’il ne l’explique pas, méfiez-vous.
Google exige, entre autres, au moins 10 000 installations, 250 avis et 90 jours dans la boutique. Un VPN petit ou récent peut ne pas avoir de badge et être légitime. Le badge n’est donc qu’un indice de plus.
Que faire si vous en avez déjà installé un
Faites-le dès que possible. N’attendez pas de voir s’il se passe quelque chose.
Dans les paramètres d’Android, cherchez ces deux sections. Le nom exact change selon le téléphone. Retirez l’autorisation à toute application que vous ne reconnaissez pas.
Activez Google Play Protect ou utilisez un antivirus de confiance.
Commencez par votre messagerie et votre banque. Si vous soupçonnez un cheval de Troie, faites-le depuis un autre appareil.
En cas d’opérations que vous ne reconnaissez pas, appelez votre banque et déposez plainte.
En Espagne, l’INCIBE propose une ligne d’aide gratuite et confidentielle en cybersécurité : le 017 (page en espagnol). Ailleurs, contactez l’agence nationale de cybersécurité.
Un VPN gratuit a-t-il un sens ?
L’INCIBE avertit que beaucoup de VPN gratuits se financent en collectant et en vendant les données des utilisateurs. Cela ne veut pas dire qu’ils sont tous dangereux. Cela veut dire que vous devez savoir qui l’offre et comment il gagne de l’argent.
S’il respecte les cinq étapes ci-dessus, vous pouvez l’envisager. Sinon, mieux vaut ne pas l’installer. Dans d’autres articles, nous analysons deux services précis : Windscribe gratuit et Proton VPN.
Questions fréquentes
Un VPN de la boutique officielle est-il toujours sûr ?
Non. L’étude de Citizen Lab a analysé des applications de Google Play présentant des failles et des propriétaires peu clairs. La boutique réduit le risque, mais ne l’élimine pas.
Pourquoi est-il important de savoir qui est derrière le VPN ?
Parce que l’entreprise qui fournit le VPN peut voir le trafic qui passe par ses serveurs. L’étude de Citizen Lab le souligne.
Et sur iPhone ?
Les cas cités concernent Android. Nous n’avons pas trouvé de sources officielles récentes sur l’iPhone que nous puissions citer, nous n’affirmons donc rien. Les vérifications de la boutique, du développeur, des autorisations et du financement valent pour n’importe quel téléphone.
Ai-je besoin d’un VPN ?
Cela dépend de l’usage que vous voulez en faire. Un VPN crée une connexion chiffrée entre votre appareil et un serveur. Nous parlons des réseaux wifi publics dans cet article.
Un VPN n’est pas sûr simplement parce qu’il s’appelle VPN.
Dans les cas examinés, le problème apparaît quand on ne sait pas qui est derrière l’application. Il apparaît aussi quand elle est installée hors de la boutique officielle.
Avant d’en installer une, vérifiez la boutique, le développeur, les autorisations et le financement. Si quelque chose ne colle pas, ne l’installez pas.
Sources
Kaspersky : hausse des applications qui se font passer pour des VPN (20/11/2024) (en anglais).
Cleafy : Klopatra, un nouveau cheval de Troie bancaire pour Android (30/09/2025) (en anglais).
Citizen Lab : Hidden Links, familles secrètes d’applications VPN (14/08/2025) (en anglais).
Google : avis sur les fraudes et les arnaques (06/11/2025) (en anglais).
Android Developers Blog : badge « Verified » pour les VPN (28/01/2025) (en anglais).
INCIBE : se connecter à son entreprise en toute sécurité avec un VPN (09/08/2018) (en espagnol).
INCIBE : gratuit ou payant, ce qu’il faut savoir sur les VPN (en espagnol).
Mis à jour en novembre 2026.
