Un ami m'appelle un samedi matin, paniqué. Il vient de recevoir une notification de sa banque : deux paiements de 380 € qu'il n'a jamais faits. Son téléphone n'a jamais été volé. Il l'a toujours dans sa poche. Et pourtant, quelqu'un a ses identifiants, a validé une transaction, et s'apprête à recommencer.
Ce qui l'a mis dedans n'est ni un hacker de génie ni un logiciel espion dernier cri. C'est un code à quatre chiffres. Le même que sur sa carte bancaire.
Voilà le problème avec la sécurité mobile : les failles visibles ne sont presque jamais celles qui coûtent cher. On se méfie du Wi-Fi de l'aéroport, on installe un antivirus, et on laisse la porte d'entrée grande ouverte. Sécuriser son smartphone, ça ne veut pas dire empiler des applis. Ça veut dire fermer trois ou quatre accès que personne ne pense à regarder.
Points clés à retenir
- Un code PIN long (six chiffres ou plus) résiste infiniment mieux qu'un code à quatre chiffres, surtout combiné à la biométrie.
- Vos sauvegardes cloud ne sont pas toutes chiffrées de bout en bout : c'est un réglage à activer à la main.
- Sur une session Google ou Apple, vérifiez toujours les appareils connectés et révoquez ce que vous ne reconnaissez pas.
- Les autorisations d'applications sont le point faible le plus négligé : microphone, localisation, contacts.
- En cas de compromission, l'ordre des opérations compte plus que la vitesse.
- Activer le verrouillage USB et le mode avion en déplacement ferme des failles qu'aucun antivirus ne couvre.
Avant tout : verrouiller l'accès, pas empiler les applis
La question qu'on me pose le plus souvent, c'est : « quel antivirus je dois installer ? ». Franchement, c'est la mauvaise question. Sur iOS, il n'existe pas d'antivirus au sens où on l'entend sur ordinateur — les applications sont isolées les unes des autres. Sur Android, un antivirus sert surtout à repérer une appli déjà douteuse que vous auriez installée vous-même.
Dans les deux cas, l'accès au téléphone est la vraie porte. Si quelqu'un peut déverrouiller votre écran, tout le reste de votre sécurité est de la décoration.
Pourquoi la longueur du code compte plus que tout
Un code à quatre chiffres, ça fait 10 000 combinaisons possibles. Ça paraît beaucoup. Sauf qu'un logiciel qui teste les combinaisons les épuise en quelques minutes, et qu'un regard par-dessus votre épaule réduit encore ce nombre.
Passez à six chiffres. Vous multipliez les combinaisons par cent. Sur Android, l'option se trouve dans Sécurité et confidentialité > Verrouillage de l'écran. Sur iPhone, c'est dans Réglages > Face ID et code > Modifier le code, puis Options du code.
Et la biométrie ? Utile, mais pas infaillible. Face ID a déjà été trompé par des jumeaux, la reconnaissance d'empreinte par un doigt moulé. Gardez toujours le code comme solution de repli, et surtout : ne désactivez jamais le verrouillage automatique de l'écran, même « juste cinq minutes ».
Ne mettez pas votre code bancaire dans un téléphone
Le réflexe le plus répandu, et le plus dangereux : choisir comme code de déverrouillage les quatre chiffres de sa carte bleue. La CNIL le rappelle depuis des années, et ça reste l'une des causes les plus fréquentes de fraude après un vol. Un voleur qui a votre téléphone et un terminal de paiement n'a besoin que de quelques secondes.
Si vous stockez des codes confidentiels quelque part, faites-le dans un gestionnaire de mots de passe verrouillé par une phrase secrète différente de tout le reste. Pas dans une note. Pas dans un message à vous-même.
Le réglage que personne n'active : le chiffrement des sauvegardes cloud
Voilà l'angle dont on ne parle presque jamais dans les guides classiques. Vos photos, vos messages, vos contacts partent régulièrement dans le cloud. Et par défaut, ces sauvegardes ne sont pas toujours chiffrées de bout en bout — ce qui signifie que la plateforme qui les héberge peut techniquement y accéder.
Ce n'est pas un détail paranoïaque. C'est une différence juridique et technique réelle.
Sur iPhone : le chiffrement avancé existe, mais il est caché
Apple propose une option de « protection avancée des données » qui étend le chiffrement de bout en bout à quasiment toutes les catégories de données iCloud, y compris les sauvegardes, les photos et les notes. Le problème ? Elle n'est pas activée par défaut. Il faut aller la chercher dans Réglages > votre nom > iCloud > Protection avancée des données.
Le prix à payer : si vous perdez l'accès à votre compte, Apple ne peut plus vous aider à récupérer vos données. Vous devenez seul responsable de la récupération. C'est le compromis honnête. À vous de voir s'il vous convient.
Sur Android : ce qui est chiffré et ce qui ne l'est pas
Les sauvegardes Google sont chiffrées en transit et sur les serveurs, mais elles ne sont pas de bout en bout. Google détient les clés. Pour les données les plus sensibles, préférez un gestionnaire de mots de passe qui chiffre localement, ou un service de sauvegarde tierce avec une clé que vous seul contrôlez.
| Élément | iPhone | Android |
|---|---|---|
| Chiffrement de bout en bout des sauvegardes | Possible via protection avancée (à activer) | Non disponible nativement |
| Code de verrouillage minimum conseillé | 6 chiffres ou plus | 6 chiffres ou plus |
| Verrouillage USB | Natif depuis des versions récentes | À activer dans les options développeur |
| Révocation d'appareils connectés | Réglages > votre nom > Appareils | Compte Google > Sécurité > Vos appareils |
Sessions et appareils connectés : le trou dans la raquette
Combien d'appareils sont connectés à votre compte Google ou Apple en ce moment ? La plupart des gens n'en ont aucune idée. Un vieux téléphone revendu, une tablette prêtée, un navigateur oublié sur un ordinateur public — chacun de ces appareils garde un accès actif tant que vous ne le révoquez pas.
C'est le point que je vérifie en premier quand quelqu'un me dit que son compte a été piraté. Neuf fois sur dix, il y a un appareil inconnu dans la liste.
- Sur Google : myaccount.google.com > Sécurité > Vos appareils. Déconnectez tout ce que vous ne reconnaissez pas immédiatement.
- Sur Apple : Réglages > votre nom, faites défiler jusqu'à la liste des appareils. Retirez ceux qui ne vous appartiennent plus.
- Changez le mot de passe du compte après chaque révocation suspecte. Sinon, la session révoquée peut se réauthentifier.
- Activez la validation en deux étapes si ce n'est pas déjà fait. C'est ce qui transforme une fuite de mot de passe en simple incident.
Un mot sur la double authentification : préférez une application d'authentification ou une clé physique au SMS. Le SMS reste vulnérable au SIM swapping — l'attaque où quelqu'un se fait passer pour vous auprès de l'opérateur pour récupérer votre numéro. C'est arrivé à un lecteur qui m'a écrit l'an dernier : son opérateur a transféré sa ligne sans vérification poussée.
Autorisations d'applications : le vrai point faible
Une application de lampe torche qui demande l'accès à vos contacts. Un jeu qui veut votre micro. Un fond d'écran qui réclame la localisation en arrière-plan. Ça devrait vous faire tiquer. Et pourtant, on clique « Autoriser » sans lire, parce que refuser bloque l'usage immédiat.
Le principe est simple : une autorisation accordée est une porte qu'on ne referme plus, sauf si on va la refermer manuellement. Faites le tour une fois, puis oubliez.
- Révoquez la localisation « toujours » pour tout ce qui n'en a pas besoin en continu. « Pendant l'utilisation » suffit presque toujours.
- Coupez l'accès au micro et à la caméra pour les applis qui n'ont aucune raison de les utiliser.
- Limitez les contacts et le calendrier — beaucoup d'applis s'en servent pour aspirer des données sans que ce soit nécessaire à leur fonctionnement.
- Sur Android, activez le verrouillage USB dans les options développeur. Ça bloque le transfert de données quand le téléphone est branché.
Dernier point : installez uniquement depuis les stores officiels. Pas d'APK téléchargé sur un forum. Une appli qui n'est pas passée par une revue, même une seule fois, c'est une loterie.
Wi-Fi publics, arnaques et déplacements
Le Wi-Fi public est un risque réel, mais surestimé par rapport aux vraies menaces. Le vrai danger aujourd'hui, c'est le phishing par SMS et l'arnaque au faux support — pas le pirate qui intercepte votre connexion dans un café. La plupart des communications sont chiffrées en HTTPS, ce qui limite beaucoup l'espionnage passif.
Ce qui reste risqué : les réseaux sans mot de passe où quelqu'un peut se faire passer pour le point d'accès légitime. Si vous devez vous connecter, utilisez un VPN. Sinon, restez sur vos données mobiles — c'est plus sûr que de partager un réseau ouvert.
Le réflexe du mode avion
Quand je voyage, j'active le mode avion dès que je passe une frontière ou que je me trouve dans un lieu où je ne veux pas être localisé. Ce n'est pas de la paranoïa : c'est ce qui empêche certaines applications et opérateurs de transmettre votre position en continu, et ça coupe aussi toute connexion non désirée en arrière-plan. Un geste simple, qui ne coûte rien.
Que faire si votre téléphone est compromis ou volé
Il y a une bonne et une mauvaise façon de réagir. La mauvaise : paniquer, changer tous les mots de passe dans l'ordre, oublier l'appareil lui-même. La bonne : agir dans l'ordre inverse.
- Localisez, verrouillez ou effacez à distance. Sur Google : find my device. Sur iPhone : Localiser. Si vous ne le retrouvez pas, effacez. Le contenu vaut plus que le matériel.
- Changez le mot de passe du compte principal — celui qui donne accès au reste. Puis ceux des services critiques : banque, messagerie, coffre-fort de mots de passe.
- Révoquez les sessions actives sur tous vos comptes importants.
- Prévenez votre banque si vous avez stocké des moyens de paiement sur l'appareil.
- Faites opposition à la SIM si le téléphone a disparu avec. Ça empêche la récupération de codes par SMS.
Si l'appareil n'est pas perdu mais infecté — comportement bizarre, batterie qui fond, applis inconnues — la réponse la plus rapide reste la réinitialisation complète. Sauvegardez d'abord vos photos sur un support que vous contrôlez, pas dans le cloud du téléphone. Puis réinitialisez et restaurez uniquement les applications que vous reconnaissez.
Ce qui reste imparfait, même avec tout ça
Je vais être honnête : appliquer tout ce qui précède ne vous rend pas invulnérable. Une faille dans le système d'exploitation que l'éditeur n'a pas encore corrigée peut passer outre tous ces réglages. C'est pour ça que les mises à jour automatiques méritent d'être activées, même si elles tombent au mauvais moment.
Et il y a une limite plus inconfortable : votre sécurité dépend aussi de celle des autres. Un message compromis envoyé par un contact de confiance reste un message crédible. La vigilance reste la seule protection contre ça.
Ce qui marche vraiment, au fond, c'est trois choses : un code long, des mises à jour automatiques, et la vérification régulière des appareils connectés à vos comptes. Le reste est du confort. Le confort est agréable. Mais ce ne sont pas les trois gestes qui vous sauveront le jour où quelqu'un essaie vraiment.
Alors, quand avez-vous regardé la liste de vos appareils connectés pour la dernière fois ?
