Une application météo consultée machinalement le matin, un petit jeu pour patienter dans le métro, un guide de prière ou un traqueur de sommeil : rien de plus banal. Pourtant, derrière ces outils gratuits et anodins se cache parfois un invité que vous n’avez jamais convié. Récemment, une enquête a mis en lumière un phénomène qui donne le vertige : des agents des services de renseignement français, parmi les plus discrets de la République, ont pu être localisés avec une précision de trois mètres. Pas grâce à un satellite espion sophistiqué, mais tout simplement à cause de jeux mobiles et d’applications météo installés sur leurs téléphones. Cette découverte illustre un problème qui nous concerne tous. En téléchargeant une simple appli gratuite, vous embarquez peut-être sans le savoir un mouchard qui trace vos déplacements et les revend au plus offrant. Voici comment cette mécanique invisible fonctionne, et pourquoi elle mérite toute votre attention.

Ces lignes de code invisibles qui suivent chacun de vos déplacements

Imaginez que chaque téléphone émette, plusieurs fois par jour, un petit signal indiquant précisément où il se trouve. Ce n’est pas de la science-fiction : c’est la réalité quotidienne de millions d’appareils. Chaque ping géographique émis par votre smartphone peut finir sa course dans d’immenses fichiers commerciaux, revendus ensuite à ceux qui sont prêts à payer. En croisant ces données au fil des jours, il devient possible de reconstituer une carte étonnamment précise de votre vie : votre domicile, votre lieu de travail, vos loisirs, la salle de sport que vous fréquentez, ou encore le cabinet médical où vous vous rendez régulièrement.

Aujourd’hui, la géolocalisation est devenue l’une des données les plus convoitées par les courtiers en données, ces intermédiaires spécialisés dans l’achat et la revente d’informations personnelles. Le plus troublant, c’est que ces trajets ne sont pas dérobés par un piratage spectaculaire. Ils fuitent par des canaux tout à fait ordinaires, logés au cœur même des applications que nous utilisons avec confiance.

Le SDK publicitaire, ce passager clandestin logé dans vos applis préférées

Pour comprendre l’origine de cette fuite, il faut s’intéresser à un acronyme technique : le SDK, pour kit de développement logiciel. Concrètement, il s’agit de petits morceaux de code que les développeurs intègrent dans leurs applications gratuites, le plus souvent pour se rémunérer grâce à la publicité. Après tout, une appli gratuite doit bien vivre de quelque chose. Le problème, c’est que certains de ces SDK font bien plus qu’afficher des bannières publicitaires.

Le mécanisme ressemble à une chaîne bien huilée. Une fois intégré à l’application, le SDK transmet vos coordonnées GPS à l’éditeur. Ces informations sont ensuite transférées au spécialiste de la géolocalisation qui a fourni le fameux kit, lequel rémunère à son tour l’éditeur en fonction du volume de données collectées ou du nombre d’utilisateurs concernés. Autrement dit, votre position devient une monnaie d’échange. Le plus vertigineux ? Selon des observations récentes, près de 40 % des applications collecteraient ou partageraient davantage de données que ce qu’elles déclarent officiellement sur leurs fiches dans les magasins d’applications. Les kits les plus répandus proviennent d’ailleurs des géants du numérique.

Comment les chercheurs ont remonté la piste de vos trajets jusqu’à leur destination finale

Retracer le voyage de ces données relève d’un véritable travail d’enquête. En analysant le trafic sortant des applications, il devient possible d’identifier vers quels serveurs partent les informations, et sous quelle forme. C’est ainsi que l’on découvre des identifiants et des coordonnées GPS voyageant discrètement depuis des applications grand public jusqu’à des entreprises spécialisées dans le commerce de la localisation. Le passager clandestin sort alors de l’ombre.

Les exemples marquants ne manquent pas. Une application de prière très populaire a été accusée de vendre les données de localisation de ses utilisateurs à des courtiers, qui les auraient ensuite revendues à des militaires américains. Le malware SpinOK, dissimulé sous les traits d’un SDK publicitaire d’apparence légitime, a contaminé plus de 100 applications totalisant environ 400 millions de téléchargements, siphonnant documents, photos et mots de passe à l’insu même des développeurs. Une entreprise américaine, X-Mode Social, s’est vu ordonner par Apple et Google le retrait de ses outils de suivi, sous peine d’exclusion des boutiques d’applications. Comme des centaines d’acteurs du même secteur, elle collectait, achetait et revendait des positions, allant parfois jusqu’à des fournisseurs d’équipements militaires. En France, l’autorité de protection des données a constaté qu’une société conservait ces informations pendant treize mois, jugeant ces dispositifs particulièrement intrusifs, car ils permettent un suivi permanent et en temps réel.

Reprendre le contrôle : ce que révèlent ces travaux et comment limiter la casse

La bonne nouvelle, c’est que ces travaux nous donnent aussi les clés pour reprendre la main. Nul besoin d’être expert en informatique pour réduire considérablement les risques. Quelques gestes simples suffisent à limiter la fuite de vos déplacements.

• Vérifiez les autorisations de localisation de chaque application et coupez-les pour celles qui n’en ont manifestement pas besoin, comme une lampe torche ou une calculatrice.
• Privilégiez l’option qui n’accorde l’accès à votre position que pendant l’utilisation de l’appli, plutôt qu’en permanence.
• Réinitialisez régulièrement l’identifiant publicitaire de votre téléphone dans les réglages, ce qui brouille les pistes des traqueurs.
• Désinstallez les applications que vous n’ouvrez plus jamais : chaque appli oubliée reste une porte ouverte.
• Méfiez-vous des applis gratuites qui réclament un nombre suspect d’autorisations sans rapport avec leur fonction.

Ces réflexes, adoptés dès maintenant, changent radicalement la donne. Ils ne rendent pas votre téléphone totalement invisible, mais ils réduisent fortement la valeur de vos données pour ceux qui cherchent à les exploiter.

Au fond, cette affaire nous rappelle une vérité inconfortable : lorsqu’un service est gratuit, c’est souvent nous, ou plutôt nos données, qui devenons le produit. Derrière la simplicité d’un jeu ou d’une appli météo se cache parfois une économie invisible où nos trajets se monnayent en silence. La prochaine fois que vous appuierez sur le bouton Installer, peut-être vous demanderez-vous : qui, au juste, suivra désormais mes déplacements ?