Royaume-Uni, France, États-Unis: la sécurité mobile passe du conseil à l’obligation. Derrière ce virage, l’IA accélère fraude, malware et fuite de données.
En bref
- Le mobile devient la cible prioritaire
- L’IA accélère fraude et malware
- Les États passent aux obligations
Le vrai sujet, il est là. Dans beaucoup d’entreprises, le mobile est maintenant la surface d’attaque la plus large, et souvent la moins surveillée. Les attaquants l’ont bien compris et misent d’abord sur les appareils et les apps, là où les défenses tiennent moins bien. L’IA n’a pas créé ce basculement, mais elle l’a rendu plus rapide, plus massif, et nettement plus compliqué à détecter.
Le mobile est passé devant tout le reste
Sur un téléphone d’employé, chaque application peut devenir une porte d’entrée vers le vol d’identifiants ou la perte de données. Apps pro et perso partagent les mêmes angles morts, transmission de données insuffisamment sécurisée, risques de conformité, ou encore applications embarquant de l’IA qui laissent filer des informations. Et il n’y a plus vraiment de catégorie rassurante.
Les chiffres donnés par Zimperium sont parlants. L’adoption de fonctions IA dans les apps a été multipliée par 14 sur Android et par 7 sur iOS. Même les applications développées en interne suivent cette cadence. Le code sort plus vite que les revues de sécurité, les protections à l’exécution arrivent après, parfois très après. Résultat, chaque build ajoute du risque.
Londres, Paris, Washington durcissent le ton
Ce n’est pas un frémissement isolé. En novembre 2025, le gouvernement des États-Unis, via la DISA, a mis à jour son STIG et impose l’usage de solutions MTD sur les terminaux iOS et Android. Quelques jours plus tard, la France a publié ses propres recommandations pour sécuriser les appareils mobiles.
Plus tôt, en juin 2025, le Royaume-Uni avait déjà intégré le sujet dans sa stratégie antifraude pour le reste de la décennie. Trois priorités ressortent, détecter la fraude en temps réel dans les apps financières mobiles, savoir si une application a été clonée ou reconditionnée, et se protéger contre l’ingénierie sociale générée par l’IA sur smartphone. Clairement, on est sorti du simple conseil.
Les apps deviennent le vrai champ de bataille
Le plus inquiétant n’est même pas la théorie. Les outils offensifs évoluent à la même vitesse. Des malwares analysés cette année réécrivent leur propre code à chaque exécution et génèrent leur charge utile de manière dynamique. Dans au moins un cas documenté, un agent d’IA a construit le malware de bout en bout.
Et pendant ce temps, les apps continuent d’empiler des briques nouvelles. Du coup, la fraude mobile, le malware et l’ingénierie sociale gagnent en crédibilité comme en volume.
La gouvernance ne voit pas encore ce qu’elle doit contrôler
Bon, c’est là que ça coince pour les équipes sécurité et conformité. Dans beaucoup d’organisations, la visibilité s’arrête encore au nom du terminal et à la version de l’OS. Pas à ce que fait réellement une app, ni à ce qu’elle exfiltre, ni au fait qu’elle ait ajouté discrètement un modèle d’IA jamais revu.
Les régulateurs avancent de toute façon. Entre la DISA, le Royaume-Uni et la France, la sécurité mobile glisse vers une exigence formelle, à la fois sur la protection des appareils et sur la fraude applicative. Pour l’écosystème, le message est simple, la gouvernance doit enfin descendre au niveau des apps.
