Sept mille applications VPN passées au crible. Des trackers partout. Des données qui filent vers Pékin, Moscou, Tel-Aviv. Le rapport publié par Proton dynamite la fiction d’un marché VPN au service de l’anonymat et révèle une industrie qui, sous couvert de protection, aspire méthodiquement la géolocalisation de ses utilisateurs.
64 applications VPN téléchargées aux États-Unis appartiennent à des sociétés chinoises, dont 31 dissimulent leur propriétaire réel derrière des coquilles vides immatriculées à Singapour, Hong Kong ou Londres. Ces apps ont été téléchargées plus de 3 millions de fois rien qu’en juin 2026. Treize millions de téléchargements au total pour l’ensemble des VPN suspects sur la même période. Google Play, App Store, même vitrine. Même passoire. Le fléau dépasse les applications mobiles puisque des centaines de fausses extensions VPN infiltrent aussi le Chrome Web Store, entre espionnage et vol de données.
Le constat le plus toxique du rapport concerne la localisation physique. Proton a identifié 64 apps qui accèdent aux données GPS et de géolocalisation en temps réel, construisant une cartographie des déplacements de l’utilisateur. Parmi les noms épinglés figurent VPN Proxy Master, VPN-Fast VPN Super et X-VPN. Ces 64 apps représentent environ 20 % de tous les téléchargements VPN du jeu de données analysé. Qui utilise un VPN pour se rendre à une manifestation, rencontrer un avocat ou protéger une source journalistique se retrouve potentiellement nu devant les services de renseignement d’un régime autoritaire.
Les trackers embarqués collectent identifiants publicitaires, modèles d’appareils, types de réseau, opérateurs mobiles… Un arsenal de métadonnées suffisant pour profiler n’importe quel utilisateur. Les applications transmettant ces informations vers des entreprises israéliennes totalisaient 2,6 millions de téléchargements américains en juin, celles communiquant avec des entités russes 1,4 million. La Chine captait 1,5 million de flux.
A lire également
Proton pointe du doigt la complaisance d’Apple et Google, qui se contentent largement des déclarations fournies par les développeurs eux-mêmes sans audit indépendant ni vérification forensique de la chaîne de propriété. « Les gens ont le droit de savoir si leurs informations personnelles sont partagées par leur VPN, et avec qui », a déclaré David Peterson, directeur général de Proton VPN. L’équipe suit désormais 7 500 services VPN et prépare la publication de rapports similaires pour le Royaume-Uni, la France et l’Allemagne.
Il faut néanmoins lire cette enquête en gardant à l’esprit que Proton, éditeur basé en Suisse et adossé au droit helvétique sur la protection des données, est lui-même un concurrent des applications qu’il dénonce. L’intérêt commercial n’invalide pas les données (issues notamment du projet open source Exodus Privacy et du fournisseur AppTweak), mais colore la démarche.
Le rapport met aussi en lumière le fait que plusieurs VPN épinglés appartiennent à des entreprises d’études de marché dont le modèle repose entièrement sur la publicité et l’analyse comportementale. L’utilisateur qui installe un VPN gratuit finance en réalité sa propre surveillance.
Avant d’installer quoi que ce soit, vérifier la structure juridique de l’éditeur, examiner les permissions demandées et privilégier les fournisseurs soumis à des audits de sécurité indépendants reste la seule hygiène viable. 85 % d’apps vérolées sur le premier marché mondial du téléchargement, ce n’est pas une faille. C’est le système lui-même qui fonctionne à l’envers.
