Vous utilisez un VPN sur votre téléphone pour protéger vos données ? Une étude de l’Université du Michigan vient d’ausculter 281 applications Android populaires, et les résultats sont alarmants : plus de 60 % d’entre elles ne mettent pas en œuvre les mesures de sécurité les plus élémentaires, et certaines font fuir exactement les données qu’elles sont censées protéger.

Ce que vous allez apprendre

• Pourquoi la majorité des VPN mobiles testés échouent aux contrôles de sécurité de base
• Quelles données concrètes sont exposées à votre insu, malgré la connexion active au VPN
• Comment le nouveau cadre MVPNalyzer pourrait forcer l’industrie à se réformer

Un outil de protection qui se retourne contre ses utilisateurs

Un VPN fonctionne sur un principe simple : tout le trafic de votre téléphone passe par un tunnel chiffré, invisible aux yeux des tiers. En échange de cette protection, l’application obtient un accès total à vos données de navigation. C’est un contrat de confiance.

Sauf que, selon les chercheurs de l’Université du Michigan, ce contrat est massivement trahi.

Leur outil d’audit automatisé, MVPNalyzer, est le premier capable d’inspecter à grande échelle les différentes couches réseau et les fichiers de configuration des applications VPN mobiles. Il a passé 281 VPN Android populaires au crible.

Des fuites massives sur des millions d’appareils

Les résultats, présentés au symposium NDSS 2026, dressent un tableau préoccupant.

29 applications laissent fuir les requêtes DNS et le trafic du navigateur en clair — ce qui revient à laisser une fenêtre grande ouverte tout en croyant avoir fermé la porte à clé. Plus de 20 % des VPN testés transmettent du contenu sans chiffrement ou en dehors du tunnel, exposant les utilisateurs à la surveillance et aux attaques.

76 applications envoient des identifiants propres à l’appareil — dont l’identifiant publicitaire — à des tiers. Autrement dit, ces VPN censés garantir l’anonymat permettent en réalité un traçage persistant de leurs utilisateurs.

Le constat est encore plus frappant sur les fichiers de configuration : parmi les 108 applications pour lesquelles ces fichiers ont pu être obtenus, 107 ignorent ou appliquent mal les standards recommandés de chiffrement. Paramètres obsolètes, authentification insuffisante, protocoles affaiblis.

Un marché opaque, des utilisateurs mal informés

Roya Ensafi, professeure à l’Université du Michigan et auteure principale de l’étude, pointe la racine du problème : les utilisateurs font confiance à des applications qu’ils ne peuvent pas évaluer eux-mêmes, dans un secteur qui n’est soumis à aucun audit standardisé.

C’est précisément ce vide que MVPNalyzer cherche à combler. Modulaire et extensible, ce cadre peut s’adapter à l’évolution des menaces. Il est également conçu pour accompagner les régulateurs dans l’identification systématique des applications défaillantes, et aider les développeurs à auditer leurs propres produits avant mise en marché.

Au-delà des VPN, un modèle pour l’audit des applis sensibles

Les chercheurs envisagent d’étendre cette approche à d’autres catégories d’applications manipulant des données critiques : messageries chiffrées, applications de santé, plateformes financières.

L’enjeu dépasse largement les VPN. Il s’agit de créer les conditions d’une transparence minimale dans un écosystème applicatif où la promesse marketing précède presque toujours la réalité technique.