Près de 250 fausses applications Android ont été associées à une campagne de fraude visant la facturation par opérateur mobile. Baptisée « Premium Deception », l’opération consistait à inscrire discrètement des utilisateurs à des services payants, dont le montant était ensuite reporté sur leur facture téléphonique. La campagne a été active de mars 2025 à la deuxième semaine de janvier 2026, soit environ dix mois, d’après les éléments rapportés par 01net.
Ce cas illustre un mode opératoire particulier dans l’écosystème Android : l’application malveillante ne cherche pas nécessairement à obtenir directement un paiement par carte. Elle exploite plutôt un parcours de souscription lié au réseau mobile et à l’opérateur. Pour les utilisateurs, la fraude peut donc se matérialiser dans la facture téléphonique, alors que l’application installée se présente comme un service connu ou un jeu populaire.
Des copies d’applications connues diffusées hors du Play Store
Les applications concernées imitaient notamment Facebook Messenger, Instagram, TikTok, Minecraft ou Grand Theft Auto. L’usurpation de noms et d’univers familiers constitue ici un levier de crédibilité : une interface, une icône ou une promesse associée à un service populaire peuvent réduire la méfiance au moment du téléchargement.
Selon les informations publiées par Servicesmobiles.fr, la campagne reposait sur des applications Android conçues pour abonner des utilisateurs à des services premium via la facturation mobile. Les fichiers n’étaient pas proposés sur le Play Store. 01net indique qu’ils étaient distribués sous la forme de fichiers APK, notamment à partir de TikTok, Facebook et de résultats de recherche Google.
Cette distinction est importante pour comprendre le scénario. Un APK est un fichier d’installation Android qui peut circuler en dehors de la boutique officielle. Dans cette campagne, l’enjeu n’était donc pas le téléchargement d’une application depuis le catalogue du Play Store, mais l’installation d’un fichier obtenu par un autre canal. Les fausses applications n’étaient pas parvenues à intégrer la boutique de Google.
Dans l’univers des applications mobiles, l’épisode rappelle que le nom affiché d’un logiciel ne suffit pas à renseigner sur son origine. La méthode de diffusion, le lien utilisé et le fichier téléchargé font partie intégrante du parcours mobile, au même titre que l’application elle-même.
Une fraude conçue autour de l’opérateur et du réseau cellulaire
Une fois installée, l’application vérifiait d’abord si l’opérateur de l’utilisateur faisait partie des opérateurs ciblés. Les attaquants avaient intégré des listes propres à plusieurs pays. Lorsqu’aucun opérateur visé n’était détecté, l’application pouvait afficher un contenu web anodin, ce qui limitait les signaux visibles pour la personne ayant installé le fichier.
Le réseau cellulaire jouait un rôle central dans la suite du mécanisme. Le logiciel malveillant pouvait désactiver la connexion Wi-Fi afin de faire passer le trafic par le réseau mobile. Ce basculement répondait aux conditions nécessaires au fonctionnement de l’authentification par facturation opérateur, selon les informations rapportées par les deux publications.
Dans une variante, le logiciel ouvrait en arrière-plan une page invisible du portail de facturation de l’opérateur. Du JavaScript était ensuite employé pour actionner automatiquement la confirmation d’un abonnement. L’utilisateur n’avait ainsi pas à réaliser lui-même les étapes affichées habituellement dans un parcours de souscription.
Le processus pouvait également inclure l’interception d’un code de validation transmis par SMS. Pour cela, le malware détournait la SMS Retriever API de Google, une fonctionnalité normalement destinée à faciliter la lecture automatique de codes de confirmation dans les applications. L’intérêt de cette séquence est de montrer que la fraude associait plusieurs actions : détection de l’opérateur, utilisation du réseau cellulaire, ouverture du portail de facturation et validation du parcours.
Ce que révèle cette campagne sur les parcours de souscription mobile
La campagne ne visait pas la France, précise 01net. Elle a néanmoins valeur d’exemple pour analyser un risque propre aux environnements mobiles : une transaction peut être liée au numéro et à l’opérateur, sans passer par un formulaire de paiement classique ni par une validation que l’utilisateur identifie clairement comme un achat.
Le cas « Premium Deception » ne doit pas être résumé à la seule présence de fausses icônes ou de copies d’applications. Le détournement s’appuyait sur la logique même de la facturation mobile, avec un appareil capable de basculer sur le réseau pertinent puis de naviguer vers un portail d’opérateur. Cette articulation entre distribution d’APK, imitation d’applications populaires et automatisation de la souscription explique la nature de la fraude documentée.
Pour les éditeurs d’applications, les plateformes et les acteurs du commerce sur mobile, ce type d’opération souligne la différence entre une expérience d’installation et un environnement de confiance. Une application peut reprendre les codes visuels d’un service établi tout en étant distribuée en dehors de son canal officiel. Dans ce contexte, l’origine du fichier et le circuit d’installation sont des éléments aussi déterminants que le nom affiché à l’écran.
Photo à la une: Anete Lusina sur Pexels (Pexels License).
