Applis de rencontre : liens piégés, installateurs douteux, ce que voit un antivirus mobile

Un antivirus mobile détecte les applications malveillantes et bloque certaines adresses déjà signalées ; il ne voit ni un faux profil, ni la manœuvre d’un interlocuteur qui gagne la confiance par étapes. Cet article reste sur le plan technique : les pièges qui accompagnent une rencontre en ligne (lien envoyé en conversation, QR code, installateur hors boutique, application imitée) et la part que les tests de laboratoire permettent de mesurer. La reconnaissance des faux profils et la psychologie de l’arnaque sont traitées par d’autres sources, citées plus bas.

Le lien envoyé dans la conversation

C’est la porte d’entrée la plus banale. Au bout de quelques messages, l’interlocuteur propose de continuer ailleurs, sur une autre messagerie, ou de consulter « une photo », « un document », « une page de vérification ». Le lien est raccourci, ce qui masque la destination. Il mène à une fausse page : formulaire de connexion qui imite un service connu, page de paiement, demande de saisie d’un code reçu par SMS.

Ouvrir la page ne compromet pas, à lui seul, un téléphone à jour. Le danger tient à ce que la page fait ensuite : elle demande de saisir un mot de passe, de confirmer un code, ou de télécharger un fichier. Un antivirus mobile peut bloquer une adresse déjà répertoriée comme dangereuse, par la protection web que beaucoup de produits incluent. Il ne peut pas bloquer une adresse créée le matin même, ce qui explique que ces liens soient renouvelés en permanence.

Pour juger un lien sans l’ouvrir, trois repères tiennent en peu de gestes : le nom de domaine affiché en entier (maintenir le doigt sur le lien pour le lire), le contexte (un service sérieux ne demande pas de saisir un code de sécurité dans une conversation privée), et la demande elle-même. Si le lien réclame un paiement, une pièce d’identité ou un code, il suffit de ne pas poursuivre.

Pourquoi la conversation change de canal

Dans presque tous les scénarios, l’interlocuteur finit par proposer de « continuer ailleurs ». La raison est technique avant d’être psychologique : sur la plateforme d’origine, les messages sont modérés, les comptes signalés, les liens parfois filtrés. En passant sur une messagerie privée, le correspondant sort du périmètre où ces garde-fous s’appliquent. C’est aussi à ce moment qu’arrive le premier lien, le premier fichier ou la première demande de « vérification ».

Ce changement de canal n’est pas une preuve de malveillance, beaucoup de conversations ordinaires migrent. Mais il marque l’endroit où le risque technique augmente, et où les réflexes décrits ici deviennent utiles : lire l’adresse d’un lien avant de l’ouvrir, refuser les fichiers d’installation, ne communiquer aucun code reçu. Il est plus simple d’avoir décidé de ces règles avant la conversation que pendant.

Le QR code, même problème, autre présentation

Un QR code n’est qu’un lien encodé. Celui qu’on reçoit en image dans une conversation, ou qu’on scanne sur une affiche ou une carte, mène à une adresse que l’œil ne lit pas. Les appareils photo affichent l’adresse avant de l’ouvrir : il faut la lire, et refuser de poursuivre quand elle ne correspond pas à l’organisme annoncé. Les mêmes règles s’appliquent au lien : si la page demande des identifiants, un paiement ou un fichier, on s’arrête.

Un antivirus mobile qui dispose d’une protection web applique le même filtre aux adresses ouvertes par un QR code qu’à celles tapées au clavier, sans les distinguer. Son efficacité dépend donc de la même question : l’adresse est-elle déjà connue ?

L’installateur proposé hors de la boutique

Le piège le plus grave est le fichier d’installation Android, au format APK, proposé en dehors de la boutique officielle : « l’appli complète », « la version sans publicité », « la mise à jour exclusive ». Sur Android, installer un tel fichier exige d’autoriser l’installation depuis une source inconnue, réglage que le téléphone avertit de ne pas accorder à la légère.

Les applications ainsi installées échappent aux contrôles de la boutique. Elles peuvent demander des autorisations sensibles : lire les SMS, afficher des fenêtres par-dessus d’autres applications, accéder aux services d’accessibilité du téléphone. Ces droits permettent de capter des codes de vérification ou de simuler des gestes. L’article sur les cracks et faux installateurs décrit le même mécanisme côté ordinateur : le point commun est la demande d’abaisser une protection.

Sur ce point, la protection d’Android est correcte. Google Play Protect, selon la documentation de Google, vérifie les applications à l’installation et analyse régulièrement l’appareil, détecte les applications potentiellement dangereuses issues d’autres sources et peut demander l’envoi d’une application jamais analysée pour une évaluation. Il peut aussi avertir ou désactiver une application déjà installée devenue dangereuse. C’est une protection automatisée, pas une garantie.

L’application légitime en apparence

Troisième cas, plus sournois : une application qui imite une application connue, ou qui se présente comme un « outil » lié à la conversation (vérification d’identité, messagerie « sécurisée », visionneuse de photos). Elle peut se trouver hors de la boutique officielle, parfois dedans, avant d’être retirée.

La défense technique tient à deux contrôles. Le premier est l’éditeur : le nom de l’éditeur affiché sur la fiche de l’application doit correspondre au service qu’elle prétend représenter. Le second est la liste des autorisations demandées, qu’il faut comparer à l’usage. Une visionneuse de photos qui demande l’accès aux SMS pose une question qu’aucun antivirus ne posera à votre place. Quand une autorisation ne s’explique pas, on ne l’accorde pas, ou on désinstalle.

Ce que mesurent les tests mobiles

Les laboratoires testent les produits Android, et les résultats sont lisibles. Au cycle de septembre 2026, AV-TEST a évalué 14 produits sur Android. Le tableau reprend ceux dont les notes diffèrent du maximum, et regroupe les autres.

Produit (version)	Protection	Performance	Utilisabilité
Google Play Protect, version 53.0	5,5	6	6
G DATA Mobile Security, version 29.4	5	6	5
Neuf autres suites : Kaspersky, Norton, McAfee, Bitdefender, Sophos, TotalAV, Avast, AVG et Avira (versions du cycle de septembre 2026)	6	6	6

Deux lectures. D’abord, la plupart des produits obtiennent la note maximale partout : à ce niveau, les tests départagent mal, et le choix se fait sur d’autres critères, notamment le prix et le renouvellement (le tarif de deuxième année est chiffré dans l’étude sur le renouvellement des abonnements). Ensuite, deux produits se détachent par le bas : Google Play Protect, à 5,5 en protection, et G DATA Mobile Security, à 5 en protection comme en utilisabilité, avec 16 points et sans badge « Certified » affiché. Le badge se décerne à partir de 10 points sur 18. ESET, Malwarebytes, Panda et Intego ne figurent pas dans ce cycle.

Ces notes valent pour les applications testées, à la date et à la version indiquées. Elles disent que les produits détectent bien les logiciels malveillants connus sur Android. Elles ne mesurent pas l’efficacité contre une adresse inédite envoyée en conversation, ni contre une personne qui manipule. Les barèmes et leurs limites sont expliqués dans notre guide pour interpréter les résultats des laboratoires. Le rapport complet est consultable sur la page d’AV-TEST consacrée aux mobiles.

Vérifier une application déjà installée

Si un doute surgit après coup, quelques contrôles permettent de faire le point depuis les réglages d’Android, sans outil supplémentaire.

D’abord, la liste des applications : toute application que l’on ne reconnaît pas, ou dont on ne se souvient pas de l’installation, mérite d’être ouverte dans ses informations et désinstallée en cas de doute. Ensuite, les autorisations spéciales : l’accès aux services d’accessibilité, l’affichage par-dessus d’autres applications et l’administration de l’appareil sont les accès que les applications piégées recherchent le plus ; une application qui n’a aucune raison de les détenir doit les perdre. Enfin, l’analyse de Play Protect, lançable à la main depuis son profil dans la boutique, qui examine les applications présentes.

Si une application suspecte a été installée et qu’on a saisi des codes ou des coordonnées bancaires, la priorité est le changement des mots de passe depuis un autre appareil et l’appel à la banque, avant même la désinstallation.

Ce qu’aucun antivirus ne voit

La frontière est simple à énoncer et difficile à intégrer. Un antivirus examine ce qui s’exécute sur l’appareil. Une arnaque sentimentale ne s’exécute pas : elle se déroule dans une conversation, par une messagerie parfaitement légitime, avec un compte qui ne contient aucun virus. L’interlocuteur cherche à gagner la confiance, à créer un sentiment d’urgence, puis à demander de l’argent, des documents ou des images. Rien dans cette séquence n’est un fichier malveillant, et aucun logiciel n’a de moyen de vérifier la sincérité d’un correspondant.

Cybermalveillance.gouv.fr consacre à ce sujet une fiche de réflexes sur l’escroquerie sentimentale. Parmi ses conseils : ne jamais verser d’argent à une personne connue seulement en ligne, ne pas envoyer d’images intimes à un contact virtuel, faire une recherche inversée des photos du profil, et demander l’avis d’un proche dès qu’un doute apparaît. Ces gestes relèvent du jugement, non de la configuration d’un logiciel.

Résumer la répartition des rôles aide à s’y retrouver :

• l’antivirus mobile s’occupe de ce qui s’installe et de certaines adresses connues ;
• le système d’exploitation, à jour, limite ce que les applications peuvent faire ;
• la vigilance personnelle s’occupe de la conversation, des demandes d’argent et des pièces d’identité.

Aucun de ces trois rôles ne se délègue aux deux autres, et un abonnement à un produit de sécurité n’achète que le premier.

Les fausses pages de vérification et de paiement

Parmi les liens envoyés en conversation, une famille revient souvent : la page de « vérification » d’identité, d’âge ou de compte, qui prétend protéger l’interlocuteur ou prouver sa bonne foi. Elle demande une pièce d’identité, une photo du visage, un numéro de carte « pour un paiement symbolique » ou un code reçu par SMS. Techniquement, ce sont des formulaires hébergés sur un domaine acheté pour l’occasion, avec un certificat de sécurité valide, ce qui n’a rien d’exceptionnel : le petit cadenas du navigateur atteste que la connexion est chiffrée, pas que le site est honnête.

Ce point surprend, et il explique pourquoi aucun voyant visuel ne remplace la lecture de l’adresse et la question de fond : pourquoi cette page me demande-t-elle cela, et pourquoi par ce canal ? Un service légitime ne réclame jamais un code de sécurité dans une conversation privée, ni une pièce d’identité par un lien reçu d’un correspondant. Quand une demande échoue à ce test, il suffit de fermer la page. Aucune protection logicielle n’est nécessaire pour cela, et aucune ne le fait à votre place.

Réglages qui réduisent l’exposition

Quelques réglages, vérifiables en quelques minutes, ferment les portes que les pièges précédents exploitent.

• Garder Google Play Protect actif (Play Store, profil, Play Protect) et laisser les analyses automatiques.
• Ne pas autoriser l’installation depuis des sources inconnues, ou retirer l’autorisation donnée par le passé à un navigateur ou à une messagerie.
• Installer les correctifs du système et des applications dès leur publication : les failles exploitées sont, dans leur majorité, déjà corrigées.
• Passer en revue les autorisations sensibles accordées (SMS, accessibilité, affichage par-dessus les autres applications) et retirer celles qu’aucun usage ne justifie.
• Activer la double authentification des comptes importants, avec une application dédiée plutôt que par SMS lorsque c’est possible.
• Ne jamais communiquer un code reçu par SMS ou par application, même à quelqu’un qui se présente comme le support d’un service.

Sur iPhone, une autre logique

Le système d’Apple isole chaque application et n’autorise pas une application de sécurité à analyser les autres. Les produits vendus comme « antivirus » pour iPhone font autre chose : filtres d’adresses web, alertes de fuite de données, parfois un VPN. Ces fonctions peuvent aider contre le lien piégé ; elles ne scannent pas des fichiers comme sur Android. La parade principale tient à la mise à jour du système et à l’installation depuis la seule boutique officielle. Le guide antivirus Android et iPhone reprend ces différences plateforme par plateforme.

Séparer les comptes et l’appareil

Un dernier principe réduit les dégâts quand une erreur arrive : ne pas faire reposer toute sa vie numérique sur un seul appareil. Une double authentification par application plutôt que par SMS évite qu’un code intercepté suffise. Un gestionnaire de mots de passe limite la réutilisation d’un même mot de passe sur plusieurs services, ce qui est la cause la plus courante d’un compte repris après une fuite ailleurs. Et un compte de messagerie principal protégé plus fortement que les autres protège aussi tout le reste, puisque c’est par lui que passent les réinitialisations.

Aucune de ces précautions n’est propre aux rencontres en ligne. Elles prennent seulement un sens particulier dans ce contexte, parce que la conversation crée un climat de confiance qui rend les demandes anodines.

Ce qu’il faut retenir

Pour un utilisateur Android, la protection intégrée est correcte et gratuite, et les suites testées l’améliorent d’un demi-point sur le blocage de logiciels malveillants, avec des fonctions en plus (protection web, alertes, VPN) dont l’utilité varie selon les usages. Sur iPhone, la protection repose sur le système lui-même. Dans les deux cas, la menace la plus coûteuse d’une rencontre en ligne est celle qu’un logiciel n’arrête pas, parce qu’elle n’en est pas un.

Les résultats cités valent pour le cycle de septembre 2026 ; un nouveau cycle peut modifier la photographie, et la bonne pratique reste de consulter la date du test avant tout achat.