Match gratuit, appli piégée : comment repérer le logiciel qui vole votre code de mobile money

Le lien arrive dans un groupe WhatsApp, parfois relayé par un proche. Il promet le match du soir en direct, sans abonnement, ou un film récent, gratuit. Il suffit de télécharger une petite application. Mardi et mercredi, la Ligue des champions disputait sa deuxième journée : le genre de soirée où ce message circule beaucoup.

Le 9 octobre, la Direction générale de la Police nationale a dénoncé, dans un communiqué signé par le commissaire Mamadou Diouf, chef de sa Division communication et relations publiques, une « vaste campagne d’escroquerie » visant les utilisateurs des services financiers mobiles. Selon la police, ces applications malveillantes ou ces liens trompeurs servent à « voler discrètement les codes secrets ». Les fraudeurs prennent ensuite la main sur le compte et font partir l’argent depuis le téléphone de la victime. Des enquêtes sont ouvertes ; le communiqué ne donne ni nombre de victimes ni montant.

NovoTech a décrit le 6 octobre les arnaques qui ciblent les comptes Wave par la ruse et le téléphone. Le procédé signalé cette semaine est d’une autre nature : la victime ne donne rien à personne, c’est son propre téléphone qui travaille pour l’escroc.

Ce que fait l’application une fois installée

Tout part d’un fichier en .apk, le format des applications Android. Un service qui diffuse des matchs sans en détenir les droits n’a pas sa place sur Google Play : ces applis circulent donc de main en main. Pour en installer une, Android exige d’autoriser WhatsApp, le navigateur ou le gestionnaire de fichiers à « installer des applis inconnues ». C’est le premier verrou, et c’est l’utilisateur qui l’ouvre.

Le second verrou s’appelle l’accessibilité, un ensemble de réglages conçus pour les personnes malvoyantes. D’après l’aide officielle d’Android, une appli qui l’obtient peut lire ce qui s’affiche et agir à la place de l’utilisateur. Pour un programme malveillant, c’est un passe-partout : il voit chaque chiffre tapé et appuie lui-même sur les boutons.

Viennent ensuite les outils du vol. La lecture des SMS et des notifications intercepte les codes à usage unique. La superposition pose, par-dessus votre appli de paiement, une fausse fenêtre identique : le code saisi part chez le fraudeur. Google range quatre autorisations parmi les plus détournées (réception et lecture des SMS, accès aux notifications, accessibilité) et affirme que plus de 95 % des familles de logiciels frauduleux qui les réclament s’installent hors des boutiques d’applications.

Un cas documenté en février par la société de sécurité ThreatFabric montre jusqu’où cela va. Massiv, un cheval de Troie bancaire déguisé en appli de télévision par internet (IPTV), enregistre les frappes, affiche de fausses fenêtres et peut diffuser l’écran à l’attaquant, ou lui décrire chaque page via l’accessibilité pour qu’il clique et remplisse les champs à distance, même dans les applis qui bloquent les captures d’écran. Le fraudeur n’a plus besoin de votre code sur son appareil : il opère sur le vôtre.

C’est ce que décrit la police sénégalaise : des transferts partis du téléphone des victimes. Les enquêteurs n’ont toutefois pas nommé le programme en cause, et rien n’indique que Massiv, dont les leurres ont surtout visé l’Espagne, le Portugal, la France et la Turquie, circule au Sénégal.

Pourquoi le football et les films servent d’appât

Celui qui cherche un match gratuit a déjà accepté de sortir des circuits officiels : il s’attend à télécharger un fichier et à passer outre un avertissement. Selon BleepingComputer, l’usage de fausses applis IPTV comme leurre avait nettement progressé dans les huit mois précédant la découverte de Massiv. Certaines affichent même un vrai site de streaming pendant que le logiciel espion travaille en arrière-plan : le match passe, le piège reste invisible.

Le calendrier joue pour les escrocs : la phase de ligue de la Ligue des champions court jusqu’au 27 janvier 2027, et les championnats européens reprennent chaque week-end.

D’autres appâts existent. Début 2025, Kaspersky a décrit Tria Stealer, diffusé dans des discussions WhatsApp et Telegram sous la forme d’une invitation de mariage, parfois depuis le compte piraté d’un proche. Installé, il prenait l’icône d’un engrenage pour se faire passer pour les paramètres, lisait les SMS pour récupérer les codes et tentait de s’emparer des messageries afin de réclamer de l’argent aux contacts. Le ngCERT, centre d’alerte informatique du Nigeria, a lancé une alerte à son sujet en 2025.

Avant d’installer : six questions à se poser

• D’où vient le lien ? Reçu par messagerie, SMS ou réseau social, même d’un proche, il ne mérite aucune confiance. Une appli sérieuse se cherche soi-même dans Google Play.
• Le fichier se termine-t-il par .apk ? Sur le téléphone qui sert au mobile money, ne l’ouvrez pas.
• Vous demande-t-on d’autoriser les « sources inconnues », de couper Play Protect ou d’ignorer un avertissement ? Arrêtez-vous là.
• Les autorisations ont-elles un rapport avec la fonction ? Un lecteur vidéo n’a besoin ni de vos SMS, ni de votre journal d’appels, ni de l’accès à vos notifications.
• L’appli exige-t-elle l’accessibilité ou d’« autoriser les paramètres restreints » sans raison claire ? Google cite lui-même cette demande comme un signal d’alerte.
• L’offre est-elle trop belle ? Match payant offert, film encore à l’affiche, gain sans effort : ce sont les appâts décrits par la police.

Les indices qu’un intrus est déjà là

Un programme espion cherche à se faire oublier. Méfiez-vous d’une appli dont l’icône a disparu de l’écran d’accueil ou qui imite un outil système, d’une batterie qui fond, d’un téléphone qui chauffe au repos, d’une consommation de données qui grimpe sans raison.

D’autres signes sont plus nets : des SMS de code que vous n’avez pas demandés, des notifications qui s’effacent avant lecture, un écran qui s’allume tout seul. Et une opération inconnue dans l’historique du compte, que la police recommande de consulter régulièrement.

Vérifier son téléphone Android en dix minutes

Ouvrez Paramètres, Applications, « Afficher toutes les applications » : tout nom inconnu mérite un coup d’œil à ses autorisations. Dans le gestionnaire d’autorisations (Paramètres, Sécurité et confidentialité, Confidentialité), la catégorie SMS ne devrait contenir que votre messagerie, pas un lecteur vidéo.

Le contrôle décisif se fait dans Paramètres, Accessibilité, à la rubrique des applications installées (son nom varie selon les marques) : hormis un outil choisi en connaissance de cause, rien ne devrait y être activé. Vérifiez aussi l’accès aux notifications, et retirez à WhatsApp et au navigateur le droit d’installer des applis inconnues.

Reste Play Protect, le dispositif d’analyse de Google, actif par défaut : Play Store, icône de profil, Play Protect, Paramètres, option « Analyser les applications avec Play Protect ». Lancez une analyse : il examine aussi les applis venues d’ailleurs et peut les désactiver ou les supprimer. Une appli qui vous a demandé de le couper s’est trahie toute seule.

Déjà installée ? Les gestes, dans l’ordre

D’abord, coupez la connexion : mode avion, wifi éteint. Sans internet, l’attaquant perd la main sur l’appareil. N’ouvrez plus votre appli de mobile money sur ce téléphone, car une fausse fenêtre peut s’y superposer.

Ensuite, depuis un autre appareil, joignez le service client de votre opérateur pour faire bloquer le compte et changer le code, avec un numéro pris sur son site officiel, jamais dans un message reçu.

Puis désinstallez l’intrus (Paramètres, Applications, l’appli, Désinstaller). En cas d’échec, Google conseille de redémarrer en mode sans échec (la manipulation dépend du fabricant) et de supprimer une à une les applis récemment téléchargées. En dernier recours, sauvegardez photos et contacts, puis réinitialisez le téléphone. Activez ensuite la validation en deux étapes de WhatsApp, pour que votre compte ne serve pas à piéger vos proches.

Enfin, signalez les faits, même sans perte d’argent : la police demande aux personnes qui ont installé une appli suspecte de se manifester vite et de prévenir leurs contacts. Gardez une capture du message et le nom du fichier.

Et sur iPhone ?

Un fichier .apk ne s’installe pas sur un iPhone, qui au Sénégal n’accepte que les applications de l’App Store. Le risque se déplace vers les fausses pages qui réclament le code et vers les « profils de configuration » proposés par certains sites, qu’Apple oblige à installer à la main depuis les Réglages. Pour vérifier : Réglages, Général, VPN et gestion de l’appareil. Sur un téléphone personnel, la rubrique est en principe vide ; un profil inconnu s’y supprime.

Ce que Google prépare, et ce qui manque au Sénégal

Google teste depuis 2024 une protection renforcée contre la fraude : Play Protect bloque l’installation, depuis un navigateur, une messagerie ou un gestionnaire de fichiers, des applis qui réclament ces autorisations sensibles. En 2024, ces essais ont stoppé plus de 36 millions de tentatives sur 10 millions d’appareils, dans neuf pays ou territoires dont le Kenya, le Nigeria et l’Afrique du Sud. Le Sénégal ne figurait pas dans la liste publiée en janvier 2025.

Le second chantier va plus loin. Depuis le 30 septembre 2026, selon le calendrier de Google, Android vérifie au Brésil, en Indonésie, à Singapour et en Thaïlande l’identité du développeur avant d’installer une application ; pour un auteur non enregistré, l’utilisateur doit passer par un parcours plus long. Google prévoit d’étendre ce contrôle au monde entier en 2027. D’ici là, sur un téléphone vendu à Dakar, un fichier reçu par WhatsApp s’installe dès que son propriétaire dit oui aux écrans qui le lui demandent.