250 fausses applications volent de l’argent via la facturation mobile

Une campagne mondiale impliquant 250 fausses applications Android a permis d’abonner discrètement des utilisateurs à des services premium, via des techniques avancées de fraude exploitant directement la facturation mobile.

Fraude mondiale : des applications Android détournent la facturation mobile

À l’heure où la sécurité mobile n’a jamais été autant sollicitée, Zimperium tire la sonnette d’alarme. L’entreprise, reconnue pour son expertise dans la protection des environnements mobiles grâce à l’intelligence artificielle, a mis au jour une campagne de fraude d’une ampleur inédite. Entre mars 2025 et janvier 2026, près de 250 applications malveillantes ont ciblé des utilisateurs Android dans plusieurs pays, usurpant l’identité de marques phares comme Facebook, Instagram, ou encore Minecraft. L’objectif ? Piéger les victimes afin de les abonner discrètement à des services premium via leur opérateur mobile.

Mécanismes sophistiqués : du SIM swap à l’automatisation JavaScript

Ce n’est pas tant le nombre d’applications impliquées qui frappe, mais la sophistication redoutable des techniques employées. Les cybercriminels ont conçu leurs logiciels pour adapter leur comportement selon l’opérateur détecté sur le téléphone, grâce à une validation avancée de la carte SIM. Parmi les méthodes employées :

• Manipulation automatisée des portails WebView avec injection de code JavaScript ;
• Interception furtive des codes OTP via l’API SMS Retriever de Google ;
• Détournement du trafic Internet en désactivant le WiFi pour privilégier le réseau cellulaire, indispensable aux authentifications par opérateur.

En toile de fond, chaque étape du piratage est documentée en temps réel auprès des hackers grâce à un canal Telegram dédié, tandis que les données sensibles sont exfiltrées vers des serveurs répartis sur plusieurs domaines anonymes.

Ciblage géographique et organisation méthodique

L’aspect le plus préoccupant tient sans doute à la précision du ciblage : la fraude s’est concentrée sur quatre marchés, la Malaisie, la Thaïlande, la Roumanie et la Croatie, chaque application étant capable d’ajuster ses techniques selon l’opérateur (DiGi, Maxis, etc.). Les fausses applications s’apparentaient à s’y méprendre à des jeux ou réseaux sociaux connus. Pour échapper aux contrôles classiques, certaines versions affichaient même un contenu anodin lorsqu’aucun opérateur visé n’était détecté.

Zimperium : riposte et enjeux pour l’écosystème mobile

Face à cette évolution des menaces — où il ne s’agit plus simplement de voler des données mais bien d’exploiter directement les infrastructures financières —, Zimperium souligne l’importance cruciale d’une protection embarquée. Ses solutions comme Mobile Threat Defense (MTD) ou zDefend promettent d’analyser dynamiquement les comportements suspects sur les terminaux afin de bloquer ces fraudes avant même qu’elles ne se déclenchent. Le paysage mobile semble ainsi entrer dans une nouvelle ère de risques où vigilance et innovation devront marcher main dans la main.