// LES NUMÉRIQUES — MOBILE & WEB
Actualité : Météo et piratage bancaire : comment un simple QR code reçu par courrier piège les téléphones Android
Sous l'apparence anodine d'une application de prévisions, des chevaux de Troie bancaires s'installent sur les smartphones Android. Une fois les bonnes permissions accordées, ils espionnent vos saisies, interceptent vos codes de sécurité et vident vos comptes à votre insu. Le pire : tout commence par un geste banal, autoriser une appli météo.
© Shutterstock / Alex Photo Stock - Supprimez vite ces fausses applications météo, elles siphonnent votre compte en banque
Un courrier à en-tête officiel atterrit dans votre boîte aux lettres. Il porte le logo d'un service national de météorologie et vous invite, par prudence face aux intempéries, à scanner un QR code pour installer une application d'alerte. Rien de plus rassurant qu'une lettre papier. Sauf que ce code n'installe aucune alerte : il télécharge un logiciel espion bancaire. Cette campagne, bien réelle, a visé la Suisse à partir de fin 2024 et s'est prolongée, et elle illustre une mécanique que les pirates ont portée à un rare degré de sophistication.
Le choix de l'application météo n'a rien d'un hasard. C'est l'un des rares logiciels auxquels l'utilisateur accorde sans réfléchir des accès sensibles, à commencer par la localisation et le fonctionnement en arrière-plan, puisqu'ils semblent indispensables à des prévisions locales. Les cybercriminels exploitent cette confiance pour glisser, derrière la façade des nuages et des températures, un cheval de Troie bancaire.
La distribution emprunte deux canaux. Le premier, historique, passe par les boutiques officielles : des versions piégées d'applications météo ou de services anodins ont déjà réussi à s'infiltrer sur le Play Store avant d'être supprimées. Le second, plus retors, contourne carrément les magasins. Outre les lettres postales à QR code, les pirates recourent à des services de trojanisation comme Zombinder, qui permettent de greffer une charge malveillante à une application légitime. Ces techniques contournent une partie des protections introduites depuis Android 13 contre les applications installées hors des boutiques officielles. Le logiciel installé sur ces canaux parallèles porte un nom connu des chercheurs : Coper, ou des variantes récentes comme Octo ou Octo2, toutes spécialisées dans le détournement des applications bancaires sur Android.
Une fois en place, l'application change de visage. Son icône d'origine disparaît souvent de l'écran d'accueil pour se faire oublier. Puis surgit un faux écran système, déguisé en « mise à jour du système », qui réclame des droits hautement invasifs : les services d'accessibilité et les droits d'administrateur de l'appareil. Ces deux permissions sont les clés du royaume. Les services d'accessibilité, conçus pour aider les personnes en situation de handicap, offrent au malware une vue d'ensemble sur tout ce qui s'affiche. De quoi enregistrer chaque frappe au clavier et simuler des clics à votre place.
Vient alors l'attaque par superposition, l'arme maîtresse. Le logiciel surveille en permanence l'appareil et attend que vous ouvriez la véritable application de votre banque. À cet instant précis, il plaque par-dessus une fausse page de connexion, visuellement identique à l'originale. Vous tapez vos identifiants en toute confiance, mais ils filent droit vers le serveur des attaquants. Le piège ne s'arrête pas là. En accédant à vos SMS, le malware intercepte les codes à usage unique envoyés par la banque, les utilise pour valider des virements, puis les efface pour que vous ne voyiez rien. Grâce à des systèmes de transfert automatisé qui imitent un comportement humain, les fonds partent tout seuls. Certains malwares vont jusqu'à modifier votre code de déverrouillage et bloquer le téléphone pendant qu'ils opèrent.
Plusieurs signaux doivent alerter. Une icône d'application qui s'évapore, de faux écrans de mise à jour qui bloquent l'écran, une demande de droits sans rapport avec la météo, des SMS de la banque qui n'arrivent plus, ou encore le fait d'être brutalement déconnecté de s