Un VPN mobile est souvent installé pour mieux protéger les échanges réalisés depuis un smartphone. Or, l’audit de 281 applications VPN Android populaires mené par l’Université du Michigan invite à regarder de plus près ce que ces outils font réellement. Selon les résultats présentés au symposium NDSS 2026, plus de 60 % des applications examinées n’appliquent pas les mesures de sécurité les plus élémentaires. Le constat ne signifie pas que tous les VPN Android échouent, ni que chaque utilisateur est exposé, mais il souligne l’importance de ne pas assimiler une promesse de protection à une garantie technique.
En bref
- Une étude de l’Université du Michigan a audité 281 applications VPN Android populaires avec MVPNalyzer.
- Plus de 60 % des applications examinées ne mettent pas en œuvre les mesures de sécurité les plus élémentaires, selon Sciencepost.
- 76 applications transmettent à des tiers des identifiants propres à l’appareil, dont l’identifiant publicitaire.
- Parmi 108 fichiers de configuration récupérés, 107 ignorent ou appliquent mal les standards de chiffrement recommandés.
L’étude s’appuie sur MVPNalyzer, un outil d’audit conçu pour examiner les couches réseau et les fichiers de configuration des applications. Les données détaillées rapportées par Sciencepost à propos de cette étude sur les VPN Android montrent que la sécurité d’une application dépend autant de sa configuration et de ses flux effectifs que de son positionnement dans une boutique.
Des écarts observés dans le trafic et les configurations
Parmi les résultats publiés, 76 applications transmettent à des tiers des identifiants propres à l’appareil, y compris l’identifiant publicitaire. Pour un outil choisi notamment afin de limiter le suivi, cette information mérite une attention particulière. Elle ne permet pas, à elle seule, de conclure à l’exposition de toutes les données d’un utilisateur, mais elle documente l’existence de transmissions qui peuvent entrer en tension avec l’attente de confidentialité associée à un VPN.
L’audit relève également des difficultés sur la mise en œuvre du chiffrement. Sur les 108 applications dont les fichiers de configuration ont pu être récupérés, 107 ignorent ou appliquent mal les standards recommandés. Cette proportion concerne donc cet échantillon de configurations accessibles, et non l’ensemble des applications disponibles sur Android. Elle rappelle néanmoins qu’une interface simple et une connexion affichée comme active ne renseignent pas, à elles seules, sur les paramètres utilisés en arrière-plan.
Pour les équipes qui équipent des salariés ou administrent une flotte de terminaux, le sujet dépasse le choix individuel. Un VPN peut se retrouver au croisement des usages professionnels, de la navigation, des accès à distance et des données traitées par le téléphone. La question de la sécurité doit ainsi accompagner celle de l’adoption et de l’intégration d’applications mobiles dans les pratiques de travail.
Ce que ce constat change lors de l’installation d’un VPN
La première précaution consiste à examiner les autorisations demandées par l’application. Cette vérification ne remplace pas un audit technique, mais elle aide à identifier les accès sollicités sur le terminal et à questionner leur nécessité au regard de la fonction annoncée. Elle est particulièrement utile lorsqu’une application de sécurité réclame des permissions qui paraissent éloignées de son usage attendu.
Il importe aussi de considérer le téléchargement depuis un magasin officiel comme un élément de distribution, et non comme une preuve suffisante de fiabilité. PhonAndroid a rapporté la diffusion de fausses applications, dont des VPN, par le groupe VexTrio Viper via des magasins d’applications officiels. Ce cas ne permet pas d’affirmer que ces plateformes échouent systématiquement à protéger leurs utilisateurs, mais il illustre la nécessité d’évaluer aussi l’application elle-même.
Une vigilance à adapter aux usages mobiles
Les recommandations relayées dans ce contexte sont concrètes : examiner les autorisations et utiliser des solutions de sécurité mobiles capables de détecter des menaces. Pour une organisation, ces réflexes peuvent être intégrés à une politique plus large de sélection des applications, avec des critères documentés pour les outils qui accèdent aux communications ou aux identifiants du terminal.
Les résultats de MVPNalyzer ne désignent pas une catégorie entière d’applications comme dangereuse. Ils montrent plutôt qu’un logiciel présenté comme protecteur peut comporter des écarts que l’utilisateur ne peut pas facilement vérifier seul. Dans cet environnement, la confiance se construit moins sur une simple promesse de confidentialité que sur la cohérence entre les permissions, les pratiques observables et les exigences de sécurité retenues par l’utilisateur ou son organisation.
Photo à la une. Source: Pexels. Attribution: Towfiqu barbhuiya. Licence: Pexels License.
