Votre smartphone vous ment.
Pas besoin de le déverrouiller, de cliquer sur un lien suspect ou de télécharger une appli douteuse. RemControl, ce virus qui cible 30 banques en France et dans six autres pays, s’installe en silence. Il désactive Google Play Protect, ce bouclier censé protéger les utilisateurs d’Android, et prend le contrôle de votre appareil comme un fantôme. Pire : pour y arriver, il utilise l’IA. Pas pour vous flatter avec des news personnalisées, mais pour vous voler vos identifiants bancaires sans que vous ne compreniez rien.
Et le pire ? Personne ne semble vraiment s’en alarmer. Pas assez, en tout cas.
Pourquoi ce virus est une arme de destruction massive
D’abord, parce qu’il est silencieux. RemControl ne se signale pas par des pop-ups agressives ou des notifications bizarres. Il se cache dans des applis légitimes, souvent téléchargées depuis des stores alternatifs ou via des liens piégés sur les réseaux sociaux. Une fois installé, il attend son heure. Et quand il frappe, c’est propre : il intercepte les SMS, vole les mots de passe, et peut même simuler des appels bancaires pour vous pousser à entrer vos codes.
Ensuite, parce qu’il vise là où ça fait mal. Les banques. Pas des PME ou des comptes perso négligés, mais des institutions comme la Société Générale, BNP Paribas, ou encore des acteurs majeurs en Allemagne, aux États-Unis et en Espagne. Selon une étude de ThreatFabric (spécialiste de la cybersécurité), ce virus a déjà ciblé plus de 30 établissements financiers depuis son apparition en 2022. Et le nombre de victimes ne fait qu’augmenter.
Mais ce qui change cette fois, c’est l’IA. Les pirates ne se contentent plus d’envoyer des SMS génériques ou des e-mails mal orthographiés. Avec des outils comme FraudGPT (une version sombre de ChatGPT), ils personnalisent leurs attaques. Un message qui semble venir de votre banque, avec votre nom, votre historique de transactions… et un lien pour « vérifier votre compte ». Sauf que ce lien mène à une fausse page de connexion où vos identifiants sont récupérés en temps réel.
Google Play Protect, ce bouclier qui ne protège plus
En 2018, Google a lancé Play Protect pour scanner les applis malveillantes. Une bonne idée, sauf que RemControl a trouvé le moyen de la contourner. Le virus se cache dans des applis légitimes en apparence, des jeux, des outils de productivité, voire des applis bancaires contrefaites. Une fois téléchargé, il désactive Play Protect localement, sur votre téléphone. Résultat : Google ne voit rien. Vous non plus.
Pourquoi Google ne réagit pas plus fort ? Parce que le système repose sur la détection centralisée : si une appli est signalée comme malveillante par un nombre suffisant d’utilisateurs, elle est bloquée. Sauf que RemControl agit trop vite, trop discrètement. Et que les utilisateurs, eux, ne savent même pas qu’ils sont infectés.
L’IA, ce complice invisible
Ce qui rend RemControl particulièrement dangereux, c’est son utilisation de l’IA pour mimer les communications bancaires. Plus besoin d’un piratage technique complexe : les cybercriminels génèrent des SMS ou des e-mails indistinguables de ceux de votre banque. Ils utilisent vos propres données (récupérées via des fuites précédentes ou des keyloggers) pour rendre l’arnaque crédible.
Prenez l’exemple de la Société Générale. Un client reçoit un SMS : « Bonjour [Votre Nom], un paiement de 1 250 € a été détecté sur votre compte. Confirmez-le via ce lien pour éviter un blocage. » Le lien mène à une page qui ressemble à s’y méprendre à l’appli bancaire officielle. Sauf que derrière, ce ne sont pas les serveurs de la banque qui attendent vos identifiants, mais ceux des pirates.
Le pire ? Les banques savent que ça arrive. Elles ont des services dédiés à la lutte contre la fraude. Mais face à une attaque aussi ciblée et technologiquement avancée, leurs réponses restent souvent réactives plutôt que préventives.
Pourquoi les régulateurs ferment les yeux
En théorie, la CNIL (Commission Nationale de l’Informatique et des Libertés) et l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) devraient sauter sur ce genre de menace. Sauf que la cybersécurité, c’est comme la lutte contre le crime organisé : on agit quand le mal est déjà fait.
Prenez le cas de l’Allemagne, où RemControl a déjà frappé plusieurs banques. Les autorités ont bien publié des alertes, mais sans obligation légale pour les banques de renforcer leurs protocoles. Résultat : les pirates adaptent leurs méthodes plus vite que les régulateurs ne légifèrent.
En France, l’ANSSI a bien sorti un communiqué en 2023 pour alerter sur les risques des applis bancaires contrefaites. Mais entre un avertissement général et une protection réelle, il y a un monde. Et les pirates, eux, ne perdent pas de temps.
Que faire si vous êtes déjà infecté ?
D’abord, ne paniquez pas. Si RemControl a accès à vos identifiants, votre banque a peut-être déjà été alertée. Mais agissez vite :
- Désinstallez l’appli suspecte (même si vous ne savez pas laquelle c’est). Allez dans Paramètres > Applis > Applis désinstallées et vérifiez les dates récentes.
- Changez tous vos mots de passe bancaires, même ceux que vous pensez intouchables. Utilisez un gestionnaire de mots de passe (Bitwarden, KeePass) et activez la double authentification partout où c’est possible.
- Contactez votre banque immédiatement. Même si vous n’avez rien remarqué de suspect, signalez-leur que votre téléphone pourrait être compromis. Certaines banques ont des équipes dédiées à la fraude qui peuvent bloquer les transactions anormales en temps réel.
- Réinitialisez votre téléphone. Si vous avez un backup récent, c’est le seul moyen d’être sûr que le virus est parti. Sinon, mieux vaut perdre quelques photos que son compte en banque.
Le vrai problème, c’est nous
On nous serine depuis des années : « Ne cliquez pas sur les liens suspects », « Ne téléchargez pas d’applis depuis des stores inconnus », « Activez la vérification en deux étapes ». Sauf que RemControl ne dépend pas de notre négligence. Il dépend de l’échec des systèmes de protection.
Google Play Protect ne marche pas assez vite. Les banques ne communiquent pas assez clairement. Les régulateurs peinent à imposer des mesures strictes. Et nous, on reste dans l’expectative, en espérant que « ça n’arrivera pas à notre compte ».
Sauf que ça arrive. Déjà. Et l’IA ne va pas ralentir.
La prochaine fois, ce ne sera pas un virus. Ce sera une guerre.
Pas besoin d’attendre qu’un pirate vole votre argent pour comprendre que le système est pourri. Les banques externalisent la sécurité. Les États légifèrent trop tard. Et nous, on continue à faire confiance à des mécanismes qui ne nous protègent plus.
La question n’est plus « Comment éviter RemControl ? », mais « Comment survivre à la prochaine version ? ». Parce que l’IA, elle, ne s’arrête jamais.
