Piratage de smartphone : comment les hackers s'y prennent

Un téléphone volé, un code observé, un SMS piégé ou une application en apparence anodine peuvent suffire à ouvrir une brèche. Derrière l’écran, nos comptes bancaires, nos messages, nos photos et nos données personnelles sont devenus autant de prises pour les cybercriminels. Des attaques opportunistes aux logiciels espions capables de surveiller un appareil à distance, les méthodes se diversifient et gagnent en sophistication. Alors, comment un hacker parvient-il réellement à prendre le contrôle de notre téléphone ?

Il suffit parfois de quelques secondes, un regard par-dessus une épaule, un code tapé dans un bar et puis tout s’enchaîne. Le smartphone que l'on tient machinalement entre les mains contient aujourd’hui bien plus que des photos et conversations. Il donne accès à nos comptes bancaires, à nos mots de passe… Il est devenu presque sans que l’on s’en aperçoive, la clé d’une partie de notre vie numérique. Et cette clé peut être volée, copiée ou contournée. Les méthodes ne sont pas toujours spectaculaires. Certaines reposent sur une simple inattention. D’autres utilisent des logiciels malveillants dissimulés dans une application ou un message. Les plus sophistiquées peuvent transformer un téléphone en véritable outil de surveillance, capable de recueillir des conversations, des images ou une localisation sans que son propriétaire ne s’en rende compte. 

À lire aussi : Fuites de données et certificats numériques : la confiance numérique des Français s’effrite

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) observe depuis plusieurs années une progression des compromissions de téléphones à des fins d’espionnage. Dans son état de la menace publié en novembre 2025, l’agence explique intervenir de manière croissante sur des appareils compromis et souligne que les attaquants peuvent exploiter les réseaux mobiles, le Wi-Fi, le Bluetooth ou encore certaines vulnérabilités des systèmes d’exploitation. Mais avant les logiciels espions et les failles complexes, il existe une méthode beaucoup plus ancienne. Une méthode qui ne nécessite ni code informatique ni équipement particulier : regarder. Dans un café, un restaurant ou dans les transports, quelqu’un peut observer discrètement les gestes d’un utilisateur. Un code de quatre ou six chiffres, quelques mouvements de doigts puis attendre. C’est le shoulder surfing. 
‍

Tout peut commencer par un code 
‍

Le principe est presque désarmant de simplicité : observer quelqu’un saisir son code de déverrouillage, puis lui voler son téléphone au moment opportun. Yasmine Douadi, experte en cybersécurité, décrit le cas d’un homme à qui plus de 85 000 euros auraient été dérobés après une telle attaque. Le voleur l’aurait observé entrer son code, avant d’attendre que le téléphone soit laissé dans la poche d’une veste posée sur le dossier d’une chaise. Une fois l’appareil récupéré, il aurait ouvert l’application bancaire, transféré 73 000 livres, modifié le mot de passe et bloqué l’accès de la victime.Le plus troublant se trouve peut-être dans la suite. L’établissement bancaire avait envoyé une alerte anti fraude par SMS. Mais le SMS était arrivé sur le téléphone volé. “Si quelqu’un a votre téléphone et votre code, il a votre banque”, résume Yasmine Douadi.

À lire aussi : Wayback Machine : pourquoi 241 médias bloquent l'archive du Web

Cette phrase dit beaucoup de la place prise par le smartphone. Pendant longtemps, perdre son téléphone signifiait surtout perdre un objet coûteux, quelques photos et un carnet d’adresses. Aujourd’hui, il peut aussi permettre d’entrer dans les comptes qui lui sont liés. Et lorsqu’il n’est pas volé, il existe une autre manière de s’en emparer, tout simplement faire croire à son propriétaire qu’il est simplement en train d’installer quelque chose d’utile. 
‍

Le piège peut tenir dans une application 

Les logiciels malveillants mobiles ont une particularité : ils peuvent se faire oublier. Ils ne ressemblent pas forcément à une attaque mais ils peuvent prendre la forme d’une application, d’une mise à jour ou d’un lien envoyé par SMS. L’utilisateur accomplit lui-même le geste qui permet au logiciel d’entrer. Les chiffres montrent que le phénomène n’est pas anecdotique. Selon Kaspersky, les attaques par trojans bancaires contre les smartphones Android ont augmenté de 56% en 2025. L’entreprise a recensé 255 090 nouveaux paquets d’installation de ces logiciels, soit une hausse de 271% sur un an. Leur objectif est notamment de récupérer des identifiants bancaires, des données de paiement ou des informations permettant de détourner des transactions. 
‍

“Le plus classique, les fausses applications”, explique Yasmine Douadi. La stratégie est efficace parce qu’elle joue sur la confiance. Une calculatrice, un outil utilitaire, une application censée faciliter une tâche quotidienne, rien, en apparence, ne ressemble à une attaque. Kaspersky a par exemple documenté en 2025 le trojan Pylcasa, dissimulé dans de fausses applications de calculatrice proposées sur Google Play au Brésil. Une fois ouvertes, ces applications pouvaient rediriger leurs victimes vers des adresses contrôlées par les attaquants. 

À lire aussi : Géopolitique et cybersécurité : la nouvelle menace des entreprises

Le piège peut aussi arriver directement dans la boîte de réception. Un SMS annonce un colis parce qu’une livraison aurait échoué et il faut confirmer une adresse. Le message paraît banal, un lien est proposé, puis une page demande d’installer une application ou une mise à jour. “Vous cliquez sur le lien, le site vous demande d’installer une mise à jour ou une application et c’est fait, le trojan est dans votre téléphone”, décrit Yasmine Douadi. Les utilisateurs ont appris à télécharger des applications, à cliquer sur des notifications et à suivre les instructions affichées à l’écran. Les attaquants utilisent ces réflexes.
‍

Et parfois, même les boutiques officielles ne suffisent pas à éliminer totalement le risque. En 2025, Kaspersky avait ainsi identifié Spark Cat, un malware présent dans plusieurs applications distribuées sur l’App Store et Google Play. Le logiciel pouvait analyser les images stockées sur les téléphones afin d’y rechercher notamment des captures d’écran contenant des informations sensibles liées à des portefeuilles de cryptomonnaies. “Les fuites de données ce n’est pas seulement les cybercriminels qui vous attaquent. Ça peut être également vos données qui peuvent être visibles sur votre ordinateur ou votre téléphone”, rappelle Yasmine Douadi.
‍

Quand le smartphone devient un outil d’espionnage
‍

Pegasus a rendu cette menace célèbre. Développé par l’entreprise israélienne NSO Group, le logiciel espion a été retrouvé dans des enquêtes visant des journalistes, des militants, des responsables politiques et des membres de la société civile. Son principe est d’une tout autre nature que celui d’un trojan bancaire. “Une fois installé sur votre téléphone, Iphone ou Android, il lit tous vos messages y compris ceux des messageries chiffrées comme Signal ou Whatsapp”, explique Yasmine Douadi. Elle ajoute qu’il peut activer le microphone et la caméra, récupérer des mots de passe, enregistrer des appels, suivre la localisation et transmettre les données vers des serveurs distants. Ce qui frappe dans ces attaques c’est leur discrétion. Le propriétaire continue à utiliser son téléphone, répond à ses messages et passe des appels. Pendant ce temps, certaines informations peuvent être récupérées à son insu.

À lire aussi : Cybersécurité : l'IA agentique impose une course contre la montre

Predator appartient à cette même famille de logiciels espions. Développé par Cytrox au sein de l’écosystème Intellexa, il a fait l’objet d’enquêtes internationales menées notamment par Amnesty International. Le collectif a documenté les capacités de Predator à accéder à des données stockées ou transmises par le téléphone, aux communications, à la localisation, aux photographies et à certaines fonctions de l’appareil. 
‍

Ces outils ne visent évidemment pas indistinctement tous les propriétaires de smartphones. Une personne qui reçoit un faux SMS de livraison est confrontée à une menace d’une autre nature qu’un journaliste ou un militant ciblé par un logiciel espion. Mais le téléphone est devenu un concentré de données précieux.
‍

Peut-on savoir quand son téléphone est compromis ?

Il n’existe pas de voyant rouge qui s’allume lorsque quelqu’un prend le contrôle d’un smartphone. Mais certains changements méritent d’être examinés. Yasmine Douadi recommande notamment de vérifier les profils de configuration présents sur l’iPhone et les applications bénéficiant de droits d’administration sur Android. Les permissions doivent également être passées en revue. “Si une application de lampe torche a accès à votre micro et à vos contacts, il y a un problème”, illustre-t-elle.
‍

La consommation de données constitue un autre indice possible. Une application qui n’est presque jamais utilisée mais qui transfère soudainement d’importantes quantités de données peut justifier une vérification. Même chose lorsqu’une application inconnue consomme beaucoup d’énergie en arrière-plan.

À lire aussi : PME, ETI, collectivités : pourquoi les hackers les préfèrent

D’autres comportements peuvent attirer l’attention : redémarrages intempestifs, applications qui s’ouvrent seules, écran qui s’allume sans raison ou messages qui apparaissent dans l’historique sans avoir été envoyés. Mais là encore, la prudence s’impose. Aucun de ces signes ne suffit, à lui seul, à prouver une compromission. Ce sont surtout leur répétition et leur accumulation qui doivent pousser à chercher une explication. La meilleure défense reste souvent la plus simple : 

• Maintenir son téléphone à jour
• Télécharger les applications depuis les boutiques officielles
• Se méfier des liens inattendus
• Vérifier les permissions
• Utiliser l’authentification à deux facteurs
• Éviter de communiquer des codes de sécurité à un tiers