Le stalkerware : Il savait où elle allait. Tout le temps.
« Tu as partagé ta localisation. Il t’a juste suivie. »
Julie (prénom fictif mais histoire vraie) ne s’en est pas rendu compte tout de suite. Elle pensait à une coïncidence, une fois, deux fois. Puis elle a compris : son ex savait où elle allait, quand, avec qui. Et ce, même après avoir changé de mot de passe et de téléphone. Aucun message menaçant, aucun cri. Juste une présence invisible, constante.
Ce type d’espionnage numérique s’appelle le stalkerware ou, plus couramment en français, logiciel espion à usage intime. Derrière ce terme se cache une réalité parfois insidieuse : celle d’un contrôle exercé dans la sphère privée, par des proches, souvent à l’insu des victimes.
Si certains usages de ces outils sont légitimes, comme le suivi parental pour les mineurs (rapport de la CNIL de février 2025 : Numérique, adolescent et vie privée) ou la protection d’un appareil professionnel, ils glissent actuellement vers des dérives lorsqu’ils sont utilisés pour surveiller un conjoint ou tout simplement une connaissance.
Un marché entier prospère sur cette ambiguïté : des applications vendues légalement comme outils de contrôle parental ou de gestion d’entreprise sont détournées pour espionner un conjoint, un ex-partenaire ou un ami.
Le stalkerware : ce que c’est vraiment (et ce que ce n’est pas)
Un stalkerware, c’est une application conçue (ou détournée) pour surveiller à distance l’activité d’un téléphone, sans que la victime en soit informée. Messages, localisation, photos, appels, mots de passe : tout peut être transmis à l’insu de l’utilisateur.
Mais attention à la simplification : ces logiciels ne sont pas toujours installés par des cybercriminels. Ils sont le plus souvent utilisés par des proches : conjoint, parent, collègue.
Ils se déguisent parfois en :
- application de contrôle parental,
- outil de gestion de flotte pour entreprise,
- service de localisation « familiale ».
Cocospy – ©FamiSoft Limited.
➡️ Le problème, c’est l’intention détournée. Ce n’est pas l’outil qui est illégal en soi, c’est son usage. Et cette zone grise est le terreau de toutes les dérives.
Pour en savoir plus : Piratages courants, comment se protéger en 2025 ?
Détecter l’invisible : quand les recommandations ne suffisent pas toujours
De nombreux articles vous diront : « vérifiez votre batterie, installez un antivirus, activez Google Play Protect ». Même si c’est un bon début, en pratique ça donne quoi ?
- La plupart des stalkerwares ne sont pas détectés par les antivirus classiques. Pourquoi ? Parce que beaucoup de ces logiciels sont commercialisés comme des outils légitimes (contrôle parental, gestion d’entreprise, sécurité domestique) et ne sont donc pas répertoriés comme malveillants.
- Bien qu’étant considéré comme un malware, les éditeurs d’antivirus hésitent parfois à les inclure dans leurs bases de données de menaces. En outre, ces applications sont souvent conçues pour contourner les méthodes de détection traditionnelles rendant leur présence difficile à repérer même pour un utilisateur averti.
- Sur iPhone, le contrôle est plus difficile encore, car iOS a tendance à masquer de nombreuses interactions.
- Certains logiciels espions se masquent totalement (aucune icône, pas de consommation anormale, pas de notification).
©TinyCheck, le détecteur de stalkerware
➡️ Bien que des comportements étranges au niveau de votre appareil (batterie, augementation des données mobiles, app en tâche de fond inconnues) doivent vous alerter mais le vrai signal d’alerte, ce sont les comportements anormaux de votre entourage. Trop d’informations, trop de coïncidences, trop de contrôle. C’est là que doit commencer le doute.
Une loi encore timide face à un marché florissant
En France, l’usage non-autorisé d’un stalkerware est puni par la loi (les peines sont portées à deux ans d’emprisonnement et à 60 000 € d’amende), mais leur détection et leur reconnaissance légale restent complexes. Les applications sont souvent hébergées à l’étranger, anonymisées, et protégées par des mentions d’usage légal (contrôle parental, suivi d’employés, etc.).
Les victimes doivent prouver que l’installation a été faite sans leur consentement. Or cela demande des compétences techniques, des preuves numériques souvent inaccessibles, et un parcours judiciaire long et éprouvant.
Pendant ce temps, l’industrie du stalkerware continue de prospérer. En 2023, selon le rapport The State of Stalkerware in 2023 de Kaspersky, 31 031 utilisateurs uniques ont été ciblés et reconnus (estimation basse) dans le monde, dont environ 332 en France et ce chiffre ne reflète que les cas capturés par Kaspersky Security Network.
La progression semble se confirmer : en 2025, les chiffres ont explosé. Et certaines applications, pourtant anciennes, continuent de proliférer. C’est le cas de TheTruthSpy, détecté sur plus de 50 000 appareils Android en 2024, malgré son interface vieillissante et son modèle d’abonnement annuel.
Le business du stalkerware : un marché aussi rentable qu’invisible
Les stalkerwares sont rarement gratuits.
Et quand ils le sont, l’utilisateur devient le produit. La majorité de ces applications fonctionnent selon un modèle freemium ou par abonnement. Leur prix varie généralement entre 99 € et 249 € par an, avec des arguments de vente solides : suivi en temps réel, récupération des SMS, écoute des appels, accès aux photos…
Voici quelques exemples parmi les plus connus :
- FlexiSpy : très complet, permet l’écoute en direct, l’enregistrement d’appels et la capture d’écran.
2007-2025 FlexiSPY, Ltd. FlexiSPY®
- mSpy : souvent présenté comme un outil parental, il est largement utilisé pour surveiller un partenaire.
© 2025 mSpy
- TheTruthSpy : interface vieillissante mais encore largement utilisée
- Spyera, Cocospy : tous proposent des solutions « invisibles » à installer sur l’appareil cible, souvent en quelques minutes.
Le plus déroutant, c’est que ces outils sont commercialisés en ligne de manière parfaitement assumée, via des sites bien référencés, et avec service client. Ils promettent une « discrétion totale », parfois même sans besoin d’accès physique à l’appareil dans les versions avancées.
Derrière l’étiquette « parental control » ou « employee monitoring », c’est tout un marché gris qui se développe. Les plateformes évitent la censure en adoptant un vocabulaire adapté et sensé, mais les forums d’utilisateurs eux-mêmes en parlent ouvertement comme d’outils pour surveiller un(e) partenaire.
Et si vous êtes déjà espionné ? Les étapes pour se débarrasser d’un stalkerware
Voici les bons réflexes à adopter, présentés étape par étape dans le tableau ci-dessous :
| Étape | Ce que vous pouvez faire | Pourquoi c’est important |
|---|---|---|
| 1. Gardez le silence au début | Ne parlez pas de vos soupçons depuis l’appareil concerné, ne changez pas vos habitudes trop vite. | Certaines applis préviennent l’espion dès qu’un changement est détecté. Il faut éviter de l’alerter. |
| 2. Passez par un autre appareil | Utilisez le téléphone d’un proche de confiance, un ordinateur public ou un poste au travail. | Vos recherches, messages ou démarches risquent d’être surveillés depuis l’appareil compromis. |
| 3. Sauvegardez vos données manuellement | Copiez vos photos, contacts, documents importants sans passer par une restauration automatique. | Cela vous permettra de tout récupérer sans risquer de réinstaller l’espion à votre insu. |
| 4. Examinez votre téléphone | Android : vérifiez les applis inconnues ou suspectes et leurs autorisations. iPhone : regardez dans les réglages s’il existe un "profil de gestion" (MDM). |
Ces éléments peuvent trahir la présence d’un logiciel espion ou d’un accès distant. |
| 5. Utilisez des outils spécialisés | Essayez TinyCheck, ou des applis comme Malwarebytes, Avast Mobile, etc. | Certains stalkerwares peuvent être détectés par ces outils, même si ce n’est pas garanti. |
| 6. Réinitialisez l’appareil | Faites une réinitialisation d’usine, mais sans restaurer une ancienne sauvegarde. | Cela supprime toute trace potentielle du stalkerware. Une restauration pourrait tout réinstaller. |
| 7. Changez tous vos mots de passe | Depuis un appareil sûr, changez les accès à vos emails, réseaux sociaux, services bancaires… | Cela coupe les accès à distance, surtout si des identifiants ont été récupérés. |
| 8. Signalez la situation | Contactez France Victimes (116006), le 3018 ou cybermalveillance.gouv.fr. | Même si vous n’êtes pas sûr·e, ces organismes peuvent vous orienter et vous aider. |
Dans le doute, écoutez votre instinct. Personne ne devrait avoir accès à votre vie sans votre accord.
A propos de l'auteur : Lisa
Fondatrice de VPN Mon Ami
Experte en cybersécurité avec plus de 12 ans d'expérience dans le domaine des VPN, j'écrit de nombreux articles pour sensibiliser les internautes à la confidentialité en ligne.
