Proton affirme que 85 % des applications VPN mobiles analysées aux États-Unis intègrent des outils de suivi destinés à la publicité, à l’analyse ou au profilage. L’entreprise suisse a étudié plus de 7 000 applications VPN dans le monde à l’aide de la plateforme Exodus Privacy. Certaines iraient encore plus loin en collectant la localisation physique des utilisateurs.
85 % des VPN analysés aux États-Unis contiennent des outils de suivi
Un VPN est censé améliorer la confidentialité en ligne. Pourtant, les résultats publiés par Proton montrent une réalité beaucoup moins rassurante.
L’entreprise a passé au crible plus de 7 000 applications VPN mobiles dans plusieurs pays. Pour les États-Unis, l’analyse s’est concentrée sur 390 applications disponibles sur l’App Store et le Google Play Store.
Le chiffre interpelle : 85 % de ces applications embarqueraient au moins un tracker actif destiné à la publicité, à l’analyse d’audience ou à la création de profils utilisateurs.
Autrement dit, activer un VPN ne suffit pas forcément à disparaître des radars.
Certaines applications VPN collecteraient aussi la position GPS
La situation devient encore plus sensible lorsque la localisation entre en jeu.
Selon Proton, environ 25 % des applications américaines étudiées, soit 64 VPN, récupéreraient activement la position physique de leurs utilisateurs.
Parmi les applications citées figurent notamment VPN Proxy Master, VPN – Fast VPN Super et X-VPN.
Ces services auraient cumulé plus de 3 millions de téléchargements au mois de juin.
Le paradoxe est difficile à ignorer. Un outil utilisé pour mieux protéger sa vie privée peut, dans certains cas, collecter une donnée aussi précise que la localisation du smartphone.
Identifiant publicitaire, modèle du téléphone et réseau peuvent être récupérés
La position GPS ne serait qu’une partie du problème.
Les modules de suivi détectés peuvent aussi accéder à des données telles que le Google Advertising ID (GAID), le modèle de l’appareil, l’opérateur mobile ou encore le type de réseau utilisé.
Proton relève également des flux associés à des applications dont les données seraient envoyées vers différents pays. Pour le seul mois de juin, l’entreprise évoque 1,5 million de téléchargements liés à des transferts vers la Chine, 1,4 million vers la Russie et 2,6 millions vers Israël.
Un point mérite toutefois d’être précisé : ces chiffres correspondent aux téléchargements des applications concernées. Ils ne permettent pas d’affirmer que chaque utilisateur a effectivement vu ses données transférées.
Certaines structures derrière ces VPN restent difficiles à identifier
Proton s’est également intéressé aux sociétés qui exploitent ces applications.
Parmi les 390 VPN étudiés aux États-Unis, 64 seraient liés à des entreprises chinoises. Pour 31 d’entre eux, la structure de propriété passerait par des sociétés enregistrées à Singapour, Hong Kong ou au Royaume-Uni.
Cela peut compliquer l’identification du propriétaire réel d’un service.
Et pour un VPN, ce détail compte énormément. Ce type d’application peut potentiellement voir transiter une partie importante de l’activité Internet de ses utilisateurs.
Les grands noms du VPN ne sont pas totalement épargnés
Le phénomène ne concernerait pas uniquement les applications gratuites ou peu connues.
Le chercheur en sécurité Mike Kuketz avait déjà identifié plusieurs outils de suivi dans la version Android 2.30.0 de VyprVPN, notamment Adjust, Google Analytics et Google Crashlytics.
Il avait également relevé l’envoi d’adresses e-mail vers la plateforme marketing Iterable pendant l’inscription.
Des composants provenant de sociétés comme AppsFlyer ont aussi été détectés dans des applications populaires telles que NordVPN, Surfshark, ExpressVPN, Secure VPN ou Thunder VPN.
La présence d’un tracker ne signifie pas automatiquement qu’un VPN espionne tout le trafic de ses utilisateurs. Certains servent à mesurer les installations, les performances ou les campagnes publicitaires.
Mais pour un service dont la confidentialité constitue l’un des principaux arguments commerciaux, la présence de tels outils pose forcément question.
Utiliser un VPN ne garantit donc pas l’anonymat
Les boutiques d’applications demandent aux développeurs de déclarer leurs pratiques en matière de collecte de données. Mais une grande partie de ces informations repose sur ce que les éditeurs déclarent eux-mêmes.
D’où l’intérêt de regarder au-delà de la simple promesse « navigation privée ».
Les audits indépendants, la politique de collecte des données, le pays d’enregistrement de l’entreprise et la transparence sur son fonctionnement deviennent des critères essentiels pour choisir un service réellement respectueux de la vie privée.
Un bouton « Se connecter » peut donner une impression de sécurité. Derrière, les pratiques peuvent être très différentes.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
