La sécurité d’un smartphone ne se résume pas à poser un code PIN et installer un antivirus. Les vecteurs d’attaque ont évolué : phishing vocal, exploitation du débogage USB, permissions applicatives excessives. Protéger sa vie privée sur mobile exige des réflexes techniques précis, adaptés aux menaces actuelles.
Protection avancée Android : verrouiller la surface d’attaque par le firmware
La fonctionnalité Protection avancée d’Android bloque désormais l’accès aux options développeur lorsqu’elle est activée. Cette modification cible directement le débogage USB, un vecteur régulièrement exploité pour installer des applications malveillantes ou prendre le contrôle d’un terminal sans consentement.
A lire également : Faille de sécurité : Comprendre les risques et les solutions
Nous recommandons l’activation de ce mode aux profils exposés : journalistes, militants, professions manipulant des données sensibles, victimes de violences conjugales. Le gain est concret : la surface d’attaque physique du terminal diminue drastiquement, sans impact sur l’usage quotidien.
Sur les appareils compatibles, combiner cette protection avec le filtrage d’appels intégré (app Téléphone de Google) réduit aussi le risque de vishing. Le phishing vocal reste un angle mort dans la plupart des guides de sécurité smartphone grand public, alors que c’est un vecteur en forte progression.
A lire également : Sécurité Android : Tout sur TLS et son utilité dans le système
Permissions applicatives : auditer plutôt que bloquer en masse
Refuser toutes les permissions par défaut semble logique, mais cette approche génère des dysfonctionnements qui poussent l’utilisateur à tout réautoriser en bloc. La méthode efficace passe par un audit ciblé et régulier.
Géolocalisation et données personnelles des applications
La géolocalisation permanente reste la permission la plus problématique en matière de vie privée. Sur Android comme sur iOS, l’option « autoriser uniquement pendant l’utilisation » existe depuis plusieurs versions. Pourtant, de nombreuses applications continuent de fonctionner avec un accès permanent accordé lors de l’installation initiale.
Nous observons que les applications de lampe torche, de météo ou de jeux gratuits demandent fréquemment un accès au GPS, au micro ou aux contacts sans justification fonctionnelle. Vérifier les permissions accordées une fois par mois suffit à limiter cette dérive.
Contrôle parental et sécurité des enfants sur mobile
Pour un enfant équipé d’un smartphone, le contrôle des permissions prend une dimension supplémentaire. Les applications de contrôle parental natives (Family Link sur Android, Temps d’écran sur iOS) permettent de restreindre les installations et de superviser les autorisations accordées.
- Désactiver l’installation d’applications depuis des sources inconnues sur le téléphone de l’enfant, pas uniquement via le magasin officiel mais aussi dans les paramètres système
- Restreindre l’accès à la géolocalisation pour les applications non essentielles, en privilégiant le mode « uniquement pendant l’utilisation »
- Vérifier régulièrement la liste des applications installées, certaines se téléchargent via des liens reçus en messagerie instantanée
- Configurer un mot de passe distinct pour les achats intégrés, différent du code de déverrouillage
Un enfant n’a pas besoin des mêmes permissions qu’un adulte sur son terminal. Le paramétrage initial conditionne toute la sécurité ultérieure.
Chiffrement et sauvegardes : deux maillons souvent mal articulés
Le chiffrement du stockage interne est activé par défaut sur la quasi-totalité des smartphones récents. Le maillon faible se situe ailleurs : les sauvegardes cloud et les cartes SD.
Une sauvegarde automatique vers un service cloud non chiffré de bout en bout expose l’intégralité des données personnelles en cas de compromission du compte associé. Le chiffrement du terminal ne protège rien si la sauvegarde cloud est accessible en clair.
Sur Android, le chiffrement des sauvegardes Google dépend de la méthode choisie. Sur iOS, l’option « Protection avancée des données » pour iCloud active un chiffrement de bout en bout sur la majorité des catégories de données, mais elle n’est pas activée par défaut.
Mises à jour de sécurité mobiles : fréquence et réalité du déploiement
Appliquer les mises à jour reste le réflexe le plus cité, et le moins bien compris. Sur Android, les correctifs de sécurité mensuels sont publiés par Google, mais leur déploiement dépend du fabricant et de l’opérateur. Un terminal peut afficher un retard de plusieurs mois sur les patchs critiques sans que l’utilisateur en soit informé.
Vérifier la date du dernier correctif de sécurité installé (Paramètres > À propos du téléphone > Mise à jour de sécurité Android) donne une indication fiable du niveau de protection réel. Un smartphone dont le patch date de plus de trois mois mérite une attention particulière.
Règles CNIL et obligations sur les données personnelles mobiles
La CNIL rappelle que tout éditeur d’application mobile doit recueillir un consentement explicite avant de collecter des données personnelles. En pratique, les écrans de consentement sont souvent conçus pour maximiser l’acceptation (dark patterns), avec des boutons « Tout accepter » plus visibles que les options de refus.
- Privilégier les applications qui proposent un accès fonctionnel même en refusant la collecte de données non essentielles
- Utiliser les tableaux de bord de confidentialité intégrés aux systèmes (Android 12+ et iOS 15+) pour visualiser quelles applications accèdent au micro, à la caméra ou à la localisation
- Désinstaller les applications inutilisées depuis plus de deux mois, car elles conservent souvent des permissions actives en arrière-plan
Les informations personnelles stockées sur un smartphone (contacts, historique de navigation, données de santé) relèvent du RGPD. Chaque application installée est un point d’entrée potentiel vers ces données.
Le réflexe le plus rentable en matière de sécurité mobile n’est pas d’ajouter des couches de protection, mais de réduire le nombre de points d’exposition. Moins d’applications installées, moins de permissions accordées, moins de sauvegardes non chiffrées : la sécurité d’un smartphone se construit par soustraction, pas par accumulation d’outils.
