Chevaux de Troie bancaires Android
le nom change, le mécanisme jamais.
L’application signalée fin 2025 a disparu, remplacée par au moins quatre familles documentées depuis. Retenir un nom ne sert donc à rien, alors que le mécanisme, lui, n’a pas bougé depuis des années.
Le mécanisme, en quatre temps
Il est identique d’une famille à l’autre, ce qui est une bonne nouvelle : le reconnaître une fois suffit.
Les variantes récentes ajoutent une couche : le programme installé se fait passer pour l’outil de sécurité du téléphone, ou bloque les communications du magasin d’applications pour empêcher sa détection. Le principe, lui, ne change pas.
Le service d’accessibilité, la clé de tout
Cette fonction a été conçue pour les personnes en situation de handicap : elle permet à une application de lire ce qui s’affiche à l’écran et d’agir à la place de l’utilisateur, afin de rendre le téléphone utilisable autrement.
Détournée, elle donne exactement ce qu’un attaquant recherche : voir ce que vous voyez, taper ce que vous taperiez, valider ce que vous valideriez. Y compris les codes de confirmation envoyés par votre banque.
La course entre défenses et contournements
Première apparition de la famille citée en 2025
Un cheval de Troie bancaire jusqu’alors inconnu est identifié, diffusé par une fausse application de télévision et de réseau privé.
Publication du rapport
Plus de trois mille appareils infectés en Europe, plus de quarante versions du programme en quelques mois, signe d’un développement industriel.
Google restreint l’accessibilité sur Android
Google durcit les règles applicables aux applications réclamant le service d’accessibilité, principal levier de ces attaques.
Une nouvelle famille se déguise en protection système
Un programme se fait passer pour l’outil de sécurité intégré au téléphone pour obtenir l’accès aux messages, aux notifications et à l’accessibilité.
Délai de réflexion sur l’installation hors magasin
Un temps d’attente est imposé avant d’autoriser une installation manuelle, avec vérification de l’identité des développeurs. La mesure vise les escroqueries jouant sur l’urgence.
Les attaquants contournent à leur tour
Une famille détourne la fonction de réseau privé du système pour bloquer les communications du magasin d’applications, puis exploite l’accessibilité et le débogage.
Le magasin officiel n’est pas un sanctuaire
On lit souvent qu’aucune application du magasin officiel n’est concernée, et qu’il suffirait donc d’y rester. C’est trop optimiste.
Sur une période d’un an, une étude sectorielle a identifié 239 applications malveillantes présentes sur ce magasin, totalisant plus de quarante millions de téléchargements. Une autre campagne, découverte à l’été 2025, portait sur 77 applications et dix-neuf millions d’installations.
Le conseil reste valable, il doit simplement être formulé correctement : rester sur le Google Play Store réduit fortement le risque, il ne l’annule pas. La vigilance sur les autorisations demandées reste nécessaire dans les deux cas.
Les signaux d’un téléphone compromis
Ces programmes agissent principalement la nuit, appareil en charge et écran éteint, pour effectuer leurs opérations sans être vus. Les signes sont donc discrets.
- Une batterie qui se décharge ou un appareil qui chauffe pendant la nuit sans usage.
- Une application inconnue disposant du service d’accessibilité, à vérifier dans les paramètres.
- Les options de développeur activées sans action de votre part.
- Le magasin d’applications ou les services système qui ne se connectent plus.
- Des notifications bancaires pour des opérations que vous n’avez pas faites.
En cas de doute : retirer l’autorisation d’accessibilité, désinstaller l’application suspecte, puis changer les identifiants bancaires depuis un autre appareil, jamais depuis celui que vous soupçonnez.
Pourquoi cela concerne votre entreprise
Un téléphone n’est plus seulement un téléphone. Il valide les virements, reçoit les codes de double authentification, ouvre l’accès à la messagerie professionnelle et à l’administration du site.
Un appareil compromis reçoit donc les codes de confirmation censés protéger tous ces accès, ce qui annule leur effet. La double authentification par message perd son intérêt dès lors que l’appareil qui reçoit le message est contrôlé.
Deux conséquences pratiques. Séparer autant que possible l’appareil qui valide les paiements de celui qui sert aux usages personnels. Et privilégier une application d’authentification à la réception d’un code par message, sujet qui rejoint les recommandations traitées dans sauvegarde et sécurité.
Ce qu’on nous demande le plus souvent.
L’application citée en 2025 est-elle encore le problème ?
Elle n’est plus le sujet. Ces applications changent de nom toutes les quelques semaines, et au moins quatre familles différentes ont été documentées depuis. Retenir un nom d’application ne protège de rien, reconnaître la demande d’autorisation qui suit l’installation protège de tout.
Quelle est l’autorisation à ne jamais accorder ?
Le service d’accessibilité. Conçu pour les personnes en situation de handicap, il permet à une application de lire l’écran et d’agir à la place de l’utilisateur. C’est l’autorisation que réclament toutes les familles de logiciels bancaires malveillants, sans exception.
Le magasin d’applications officiel est-il sûr ?
Plus sûr, pas sûr. Des centaines d’applications malveillantes y ont été identifiées puis retirées, totalisant des dizaines de millions de téléchargements. Le conseil « restez sur le Google Play Store » réduit fortement le risque, il ne l’annule pas.
Qu’a changé Android en 2026 ?
Deux mesures. Une restriction des applications abusant du service d’accessibilité, au printemps. Et à partir d’août, un délai de réflexion imposé avant d’autoriser l’installation d’une application hors magasin officiel, ainsi qu’une vérification de l’identité des développeurs. Le délai vise directement les escroqueries jouant sur l’urgence.
Comment savoir si un téléphone est compromis ?
Quelques signaux : une chauffe ou une décharge anormale pendant la nuit, une application inconnue disposant du service d’accessibilité, l’activation des options de développeur sans action de votre part, ou des communications bloquées vers le magasin d’applications. En cas de doute, retirez les autorisations, supprimez l’application et changez vos identifiants bancaires depuis un autre appareil.
Cela concerne-t-il une entreprise ?
Directement, si le téléphone sert aux paiements, à la validation des virements ou à la double authentification. Un appareil compromis reçoit les codes de confirmation, ce qui annule la protection qu’ils étaient censés apporter.
- Rapport d’une société italienne de sécurité sur la famille de chevaux de Troie bancaires identifiée en 2025, publié en octobre 2025.
- Publications de sociétés de sécurité sur les familles documentées en 2026 et leurs méthodes de contournement.
- Google, annonces sur la restriction des applications abusant du service d’accessibilité, printemps 2026.
- Annonce du délai de réflexion imposé avant installation hors magasin officiel et de la vérification des développeurs, déploiement à partir d’août 2026.
- Étude sectorielle sur les applications malveillantes identifiées sur le Google Play Store entre juin 2024 et mai 2025.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article a été réécrit autour du mécanisme plutôt que d’un nom d’application, afin de rester exact dans la durée. Pour aller plus loin : la sauvegarde et la sécurité, la supervision et les mises à jour ou le dépannage de serveur.
Le téléphone qui valide vos virements est-il protégé ?
Il reçoit vos codes de confirmation, ouvre votre messagerie et donne accès à l’administration de votre site. C’est votre clé principale.