CallPhantom
28 applications bidon piègent 7,3 millions d’utilisateurs.

Les applications CallPhantom présentaient un fonctionnement volontairement simple. L’utilisateur était invité à saisir un numéro de téléphone puis à lancer une recherche censée retrouver les appels, SMS ou communications WhatsApp liés à cette ligne. La promesse donnait l’impression d’accéder à une base de données téléphonique inaccessible au grand public.

L’enquête d’ESET montre qu’il n’en était rien. Certaines applications contenaient directement dans leur code des noms, des indicatifs téléphoniques, des horaires et des durées d’appels prédéfinis. Elles combinaient ensuite ces éléments avec des numéros générés aléatoirement afin de produire un faux historique suffisamment crédible pour donner l’impression qu’une recherche avait réellement été effectuée.

Un second groupe d’applications adoptait une autre présentation : l’utilisateur fournissait une adresse e-mail à laquelle le prétendu relevé devait être envoyé. Là encore, aucune récupération réelle n’avait lieu avant le paiement. La fonction centrale n’était donc pas l’espionnage mais la mise en scène d’un service fictif.

ESET précise un élément important qui corrige une idée souvent associée à ce type d’affaire : les applications CallPhantom n’avaient généralement pas besoin de permissions Android intrusives ou sensibles. Elles n’en avaient tout simplement pas l’utilité puisqu’elles n’étaient pas capables de lire les appels, les SMS ou les conversations WhatsApp d’un autre utilisateur.

Le mécanisme se rapproche davantage d’une arnaque commerciale numérique que d’un logiciel espion classique. La victime paie pour une fonction inexistante. Le principe psychologique rappelle celui des faux conseillers bancaires : créer une situation crédible, provoquer une réaction et monétiser la confiance ou la curiosité.

Une application Android installée sur votre téléphone ne peut pas, simplement à partir d’un numéro saisi dans un formulaire, obtenir l’historique d’appels, de SMS ou des appels WhatsApp d’une autre personne. Ces données sont détenues par les appareils concernés, les opérateurs ou les services eux-mêmes et sont soumises à des contrôles d’accès.

Même lorsqu’une application reçoit des permissions étendues sur le téléphone où elle est installée, ces autorisations portent sur ce terminal et sur les données auxquelles Android lui permet d’accéder. Elles ne créent pas un accès universel aux relevés téléphoniques d’un numéro choisi au hasard.

Dans CallPhantom, l’absence de permissions sensibles constitue d’ailleurs un indice supplémentaire. Les chercheurs n’ont identifié aucune fonction capable d’effectuer les opérations annoncées. Le produit vendu n’était pas un service d’espionnage imparfait : le service n’existait tout simplement pas.

Cette distinction est importante pour la sécurité. Une fausse application peut être dangereuse de plusieurs manières : voler des identifiants, installer un malware, abuser de permissions ou, comme ici, tromper financièrement l’utilisateur. Toutes les fraudes mobiles ne reposent donc pas sur une infection technique de l’appareil.

ESET a identifié trois méthodes de paiement. Certaines applications utilisaient le système de facturation officiel de Google Play. D’autres dirigeaient l’utilisateur vers des services tiers compatibles UPI, un moyen de paiement très utilisé en Inde. Enfin, certains programmes intégraient directement des formulaires de paiement par carte.

Les deux dernières méthodes contrevenaient à la politique de paiement de Google Play telle qu’elle s’applique aux achats intégrés concernés. Elles avaient aussi une conséquence concrète pour les victimes : un paiement effectué en dehors du système Google est beaucoup plus difficile à annuler ou à rembourser via Google.

Les montants variaient fortement. ESET a observé différents forfaits hebdomadaires, mensuels ou annuels. Le niveau d’entrée tournait en moyenne autour de 5 euros tandis que le tarif maximal constaté atteignait 80 dollars.

Une des applications utilisait même une relance supplémentaire : lorsque l’utilisateur quittait l’application sans payer, une notification trompeuse imitant l’arrivée d’un e-mail indiquait que les résultats étaient prêts. Un clic ramenait vers l’écran d’abonnement.

Le chiffre de 7,3 millions correspond au cumul des téléchargements des 28 applications identifiées. Il ne signifie pas que 7,3 millions de personnes ont payé, ni qu’elles ont toutes subi une perte financière. ESET ne publie aucun chiffre fiable sur le nombre exact de victimes ayant souscrit un abonnement.

Cette précision corrige une affirmation trop spéculative de la version précédente, qui évoquait « plusieurs dizaines de milliers » de payeurs sans donnée permettant de l’établir. Ce que l’on peut confirmer est l’ampleur de la diffusion, l’existence de nombreux avis négatifs et le fait que les programmes demandaient effectivement un paiement pour fournir des données fictives.

La campagne ciblait principalement l’Inde et plus largement l’Asie-Pacifique. De nombreuses applications présélectionnaient l’indicatif +91 et certaines prenaient en charge UPI. L’une d’elles avait été publiée sous le nom de développeur « Indian gov.in », sans aucun lien réel avec les autorités indiennes.

La présence sur Google Play a également joué un rôle. Un utilisateur peut associer une boutique officielle à une validation complète du service proposé, alors que les contrôles de sécurité n’équivalent pas à une garantie que chaque promesse commerciale faite dans une fiche d’application est vraie.

Ce mécanisme est comparable à celui des fausses applications Ledger : l’environnement officiel rassure, alors que l’utilisateur doit encore vérifier le développeur, les avis, la cohérence de la promesse et les conditions de paiement.

Toutes les applications identifiées par ESET avaient été retirées du Play Store au moment de la publication du rapport. Google a également annulé les abonnements encore actifs souscrits via son système de facturation officiel. Si l’une de ces applications reste néanmoins installée sur votre téléphone, sa suppression est recommandée.

Si vous avez payé via Google Play, consultez votre historique d’achats et la rubrique « Paiements et abonnements ». Une demande de remboursement peut être possible selon le type d’achat, la date et la politique applicable. La version précédente présentait des délais fixes comme systématiques ; il est plus exact de suivre les règles affichées par Google au moment de la demande.

Si le paiement a été réalisé en dehors de Google Play, par UPI ou par carte bancaire saisie directement dans l’application, Google ne peut pas effectuer lui-même le remboursement. Il faut contacter le prestataire de paiement ou la banque concernée. En cas de saisie de coordonnées bancaires sur un formulaire que vous jugez douteux, surveillez les opérations et demandez à votre établissement les mesures adaptées.

Il n’est en revanche pas justifié d’affirmer que CallPhantom a nécessairement volé tout le contenu du téléphone. ESET explique au contraire que les applications étudiées ne réclamaient pas de permissions sensibles et ne possédaient aucune fonctionnalité permettant d’obtenir de vrais historiques.

Le premier réflexe consiste à tester la plausibilité de la promesse. Une application qui prétend afficher les appels, SMS ou conversations d’un inconnu simplement grâce à son numéro annonce une capacité qui devrait immédiatement susciter le doute. Plus une fonction semble contourner de manière magique la confidentialité d’un service, plus elle doit être vérifiée.

Le deuxième réflexe consiste à examiner le développeur. Un nom évoquant une administration, une banque ou une marque connue n’est pas une preuve d’identité. Dans CallPhantom, le nom « Indian gov.in » était utilisé sans association réelle avec le gouvernement indien.

Les avis récents apportent également un signal utile, mais ils ne doivent pas être lus isolément. ESET rapporte que plusieurs applications comportaient déjà des commentaires dénonçant l’arnaque, tandis que quelques avis positifs pouvaient renforcer artificiellement leur crédibilité.

Le paiement constitue enfin un signal majeur. Lorsqu’une application téléchargée depuis Google Play exige soudain une carte bancaire dans son propre formulaire ou redirige vers un moyen de paiement extérieur pour débloquer une fonction numérique, il faut vérifier pourquoi elle ne passe pas par le système prévu par la boutique.

Ces précautions valent aussi pour les extensions Chrome malveillantes et les plugins WordPress compromis. Le fait qu’un logiciel soit distribué depuis une plateforme connue réduit certains risques, mais ne dispense jamais de contrôler son origine et sa fonction.

Plus largement, le rapport Barracuda Networks sur les e-mails malveillants rappelle que l’ingénierie sociale fonctionne souvent parce qu’elle exploite une attente humaine avant d’exploiter une faille technique.