Sécurité numérique : Applications de confidentialité et risques liés aux VPN gratuits

Protéger sa vie privée sur son téléphone ne consiste pas tant à installer des tas d'applications qu'à corriger les failles de sécurité essentielles. Les mots de passe répétés, la désactivation de la double authentification et les VPN gratuits constituent, dans cet ordre, les trois principaux problèmes de sécurité pour l'utilisateur lambda ; or, deux d'entre eux peuvent être résolus gratuitement.

Cette liste comprend des outils qui existent aujourd'hui dans Play Store, La note et le nombre d'avis sont vérifiés en magasin, et les informations concernant la protection offerte par chaque produit – et ses limites – sont très claires.

1. Bitwarden — gestionnaire de mots de passe

Noté 4,9 sur 5 et fort de plus de 170 000 avis, ce gestionnaire de mots de passe stocke tous vos mots de passe dans un coffre-fort numérique chiffré, génère des mots de passe robustes et différents pour chaque site web et les renseigne automatiquement dans votre navigateur et vos applications.

C'est l'outil le plus important de cette liste, et la raison est simple : réutiliser le même mot de passe sur plusieurs sites web transforme une petite fuite en une intrusion dans tous vos comptes. La version gratuite de Bitwarden permet déjà une utilisation personnelle avec synchronisation entre appareils, et son code est open source et auditable.

Concernant LastPass, souvent mentionné dans les listes précédentes : ce service a subi d’importantes failles de sécurité ces dernières années, notamment des fuites de données clients. Toute personne l’utilisant encore devrait, à minima, modifier son mot de passe principal et envisager de migrer vers un autre service.

2. Signal — messages chiffrés

Notée 4,7 sur 5 et forte de plus de 2,9 millions d'avis, cette application offre un chiffrement de bout en bout pour la messagerie, les appels vocaux et vidéo, avec un code source ouvert et auditable.

La différence ne réside pas seulement dans le chiffrement (d'autres applications de messagerie l'utilisent également), mais aussi dans la quantité minimale de métadonnées stockées par l'organisation. Elle est gérée par une fondation à but non lucratif et ne contient aucune publicité.

3. Proton Mail — messagerie électronique chiffrée

Noté 4,7 sur 5 et comptant environ 92 000 avis. Service de messagerie avec chiffrement de bout en bout entre les utilisateurs, basé en Suisse, avec une formule gratuite.

Un détail important : le chiffrement de bout en bout est appliqué entre les comptes Proton. Lorsque vous écrivez à une adresse classique, le message transite comme n’importe quel autre courriel, sauf si vous utilisez l’option de protection par mot de passe. Cela n’altère en rien la qualité du service ; cela évite simplement une fausse impression de sécurité.

4. DuckDuckGo — moteur de recherche et navigateur avec blocage des traqueurs.

Noté 4,8 sur 5 et comptant plus de 2,4 millions d'avis, ce navigateur permet d'effectuer des recherches sans créer de profil utilisateur et bloque par défaut les traqueurs tiers.

Cela réduit considérablement le suivi publicitaire, et il est important de préciser : il ne s’agit pas d’une navigation anonyme. Votre fournisseur d’accès à Internet voit toujours les domaines que vous consultez, et les sites web sur lesquels vous vous connectez savent toujours qui vous êtes.

5. NordVPN — VPN payant

Notée 4,3 sur 5 et forte de plus de 1,3 million d'avis, cette application crée un tunnel chiffré entre votre appareil et Internet, protégeant ainsi votre trafic sur les réseaux publics et masquant votre adresse IP auprès des sites web visités.

Il s'agit d'un service par abonnement, et c'est un atout, pas un défaut. Nous vous expliquons pourquoi ci-dessous.

Pourquoi un VPN gratuit est une mauvaise idée.

Maintenir des serveurs dans des dizaines de pays représente un coût mensuel important. Lorsqu'un service est gratuit et sans publicité visible, les revenus proviennent d'ailleurs — et, avec les VPN, cette source d'approvisionnement est toujours votre trafic.

Il existe trois modèles connus : l’enregistrement et la vente de l’historique de navigation à des courtiers en données ; l’insertion de publicités dans les pages consultées ; ou l’utilisation de la bande passante de votre connexion pour la revendre à des tiers. Des cas ont été documentés pour chacun de ces modèles, y compris pour des applications populaires comptant des millions d’installations.

Le point crucial est que le VPN voit tous Votre trafic. Installer un VPN auquel vous ne faites pas confiance est pire que de n'en utiliser aucun : vous perdez la visibilité sur votre fournisseur et confiez toutes vos données à une entreprise dont l'adresse est peut-être inconnue.

En règle générale : soit vous utilisez un VPN payant d'une entreprise auditée publiquement et appliquant une politique de non-conservation des journaux, soit vous n'utilisez pas de VPN du tout. Ne pas en utiliser est une option tout à fait valable pour la plupart des gens.

Ce que les VPN ne font pas

• Cela ne vous rend pas anonyme. Les sites web sur lesquels vous vous connectez savent toujours exactement qui vous êtes.
• Il ne protège pas contre les virus, les arnaques par SMS ou les faux sites web bancaires.
• Cela n'empêche pas le suivi via les cookies et l'identification du navigateur.
• Cela ne légalise pas ce qui est illégal, cela ne fait que modifier le trajet du trafic.

Les mesures qui offrent le plus de protection et ne coûtent rien.

• Activer la vérification en deux étapes. Pas par courriel principal, compte bancaire ni réseaux sociaux. C'est la méthode qui offre le meilleur retour sur investissement.
• Utilisez un mot de passe différent pour chaque service., stocké dans un gestionnaire
• Maintenez votre système et vos applications à jour. La plupart des attaques exploitent une vulnérabilité qui a déjà été corrigée.
• Vérifiez les autorisations. Parmi les applications installées : la lampe torche ne nécessite pas de contacts.
• Installez uniquement depuis la boutique officielle. Les fichiers APK téléchargés aléatoirement depuis des sites web constituent la principale porte d'entrée des logiciels malveillants.
• Méfiez-vous des messages urgents. demander des données ou un paiement, même à un contact connu.

Vérification en deux étapes : toutes les méthodes n’offrent pas une protection équivalente.

Activer la deuxième étape est le conseil le plus souvent donné, et pourtant, rares sont ceux qui expliquent que les méthodes disponibles offrent des niveaux de protection très différents. Il est important de connaître cette différence, car la méthode la plus répandue est précisément la moins efficace.

• Code SMS : C'est mieux que rien, mais c'est le maillon faible. Le code transite par le réseau de l'opérateur et peut être détourné si quelqu'un parvient à transférer votre numéro sur une autre carte SIM, une escroquerie appelée « échange de carte SIM ».
• Application d'authentification : Il génère un code à six chiffres qui change toutes les trente secondes, calculé par l'appareil lui-même à l'aide d'une clé secrète. Il est indépendant du réseau, ne peut être intercepté par SMS et fonctionne même en mode avion.
• Notification d'approbation : Le service envoie une notification et vous confirmez. C'est pratique, mais cela comporte un risque : l'approbation automatique lorsque la notification arrive de manière inattendue.
• Clé physique : Un dispositif auquel vous vous connectez en touchant l'appareil. C'est la méthode la plus résistante aux fausses pages, car la clé vérifie l'adresse du site web avant de répondre.

Deux précautions s'imposent. Premièrement : conservez les codes de récupération fournis par le service lors de l'activation, séparément de votre téléphone portable ; sans eux, la perte de votre appareil entraîne la perte de votre compte. Deuxièmement : enregistrez un code PIN sur votre carte SIM auprès de votre opérateur ; cela compliquera l'utilisation de votre numéro sur un autre appareil.

L'arnaque qui ne nécessite aucun décryptage.

La plupart des pertes ne proviennent pas d'intrusions techniques. Elles résultent de la persuasion à vous faire divulguer volontairement votre code, votre mot de passe ou votre argent – et aucun des outils présentés sur cette page ne protège contre cela, car du point de vue du système, c'est le propriétaire du compte qui a agi.

Le scénario est toujours similaire : un message crée un sentiment d’urgence, change de canal de conversation et demande des informations qu’une entreprise légitime ne solliciterait jamais. Il peut s’agir d’un faux employé de banque vous informant d’un achat, d’une connaissance vous demandant un virement depuis un nouveau numéro, d’une notification de colis bloqué avec des frais à payer, ou encore d’un “ code reçu par erreur ”. Ce dernier cas est le plus fréquent, et le code en question est précisément celui de la deuxième étape.

Trois habitudes qui permettent de déjouer la quasi-totalité des arnaques : ne jamais transmettre un code reçu, quel qu’en soit l’expéditeur ; mettre fin à la conversation et appeler soi-même le numéro officiel de la banque ou de l’entreprise ; et se méfier des situations d’urgence. L’urgence est le principal atout des escrocs, car elle empêche toute vérification.

D'un point de vue juridique, l'intrusion dans le système d'une autre personne pour obtenir ou détruire des données constitue un délit depuis 2012. La législation de 2021 a créé des infractions spécifiques et alourdi les peines pour la fraude et le vol électroniques commis au moyen de tels appareils. Concrètement, cela a son importance : il est judicieux de porter plainte, car le délit existe et le dépôt de plainte permet de contester les transactions et de faire progresser l'enquête.

Les premières heures après une invasion.

Si le compte a été compromis, l'ordre des actions influe sur le résultat. La tentation est de changer d'abord le mot de passe du service compromis ; la meilleure solution consiste à commencer par les données récupérables.

1. Commencez par votre adresse e-mail principale. Il est la clé principale : celui qui contrôle cette adresse e-mail réinitialise le mot de passe de tous les autres comptes. Changez votre mot de passe et activez la double authentification avant toute autre chose.
2. Fermer les sessions actives. Changer son mot de passe ne déconnecte pas toujours les personnes déjà connectées ; presque tous les services disposent d’une liste des appareils connectés et d’un bouton pour tous les déconnecter.
3. Vérifiez les règles de routage et la réponse automatique. D'après le courriel. C'est une ruse courante : l'attaquant s'en va, mais une copie de tout continue de lui parvenir.
4. Révoquez les applications connectées à votre compte. Le service que vous avez autorisé il y a des années restera accessible, quel que soit le nouveau mot de passe.
5. Prévenez votre banque et vos contacts. La banque, pour bloquer et contester la transaction ; les contacts, car le compte piraté est souvent utilisé pour demander de l’argent à ceux qui vous font confiance.
6. Déposez une plainte auprès de la police. Conservez des captures d'écran datées. Ce document vous permettra de contester toute facturation injustifiée.

Chiffrement de bout en bout : ce qu’il ne couvre pas

Le chiffrement de bout en bout garantit une chose précise : le contenu des messages n’est lisible que sur les appareils des personnes qui communiquent. C’est important, et moins complet que la plupart des gens ne le pensent.

Les éléments suivants sont omis : métadonnées — qui a parlé à qui, quand et à quelle fréquence. Ces informations sont généralement conservées et en disent long sur une personne, même sans aucun contenu. Sont également omis : sauvegardeUne copie d'une conversation stockée dans le cloud peut ne pas bénéficier de la même protection qu'une conversation en cours de transmission ; il est donc conseillé de vérifier s'il existe une option pour chiffrer la sauvegarde avec votre propre mot de passe.

Tout ce qui se passe aux extrémités de la communication est ignoré. Si l'appareil du destinataire est compromis, si la conversation est photographiée ou si une personne se trouve dans le groupe à votre insu, le chiffrement est impuissant : il protège le chemin emprunté, pas les participants. C'est pourquoi il est important de vérifier régulièrement la liste des membres des grands groupes.

Téléphone portable perdu ou volé : qu’est-ce qui détermine le préjudice ?

Dans ce cas de figure, le coût de l'appareil est généralement le moindre des soucis. Ce qui compte, c'est l'accès aux courriels, aux services bancaires et aux messages ; et c'est la configuration qui le détermine. avant.

Un mot de passe de verrouillage d'écran robuste, et non un simple schéma, constitue la première barrière de sécurité. Les appareils modernes stockent des données chiffrées, et ce chiffrement repose sur votre mot de passe de verrouillage. Il est également conseillé de masquer les notifications sur l'écran de verrouillage : verrouiller l'appareil n'a aucun intérêt si le code de vérification s'affiche par-dessus.

Les deux systèmes permettent, sans installation, de localiser l'appareil, de le faire sonner, de le verrouiller avec un message à l'écran et d'effacer les données à distance. Activez ce service dès aujourd'hui : il est impossible de l'activer une fois l'appareil perdu. En cas de problème, la procédure consiste à bloquer l'appareil via le service client du fabricant, à fermer les comptes associés, à informer la banque, à demander à l'opérateur de bloquer la carte SIM et l'IMEI, et à déposer une plainte auprès de la police.

D'autres questions sur la confidentialité

Changer fréquemment de mot de passe est-il utile ?

Moins que vous ne le pensez. Un mot de passe long et unique pour chaque service, conservé dans un coffre-fort, offre une protection bien supérieure à celle d'un mot de passe moyen changé tous les mois : les changements fréquents ont tendance à produire des variations prévisibles du même schéma.

La navigation anonyme permet-elle de masquer ce que je fais ?

Lorsque vous fermez la fenêtre, l'historique, les cookies et les données de session de votre appareil sont effacés. C'est tout. Votre fournisseur d'accès, votre employeur et les sites web auxquels vous vous connectez continueront de voir votre activité normalement.

Faut-il se méfier d'une application qui demande trop d'autorisations ?

Valide, et le test consiste à comparer la requête avec la fonction fournie. Une simple application qui demande l'accès aux contacts, au microphone, à la géolocalisation précise ou aux fonctionnalités d'accessibilité mérite d'être désinstallée immédiatement.

Mes données ont déjà fuité. Est-ce que ça vaut la peine d'agir maintenant ?

Cela fait toute la différence. Les données divulguées sont irrécupérables, et les dégâts les plus importants surviennent plus tard : réutilisation des mots de passe sur d’autres services et tentatives d’escroquerie utilisant vos informations personnelles. Changer les mots de passe identiques et activer la double authentification élimine la majeure partie du risque restant.

L'application de sécurité de votre banque sur votre téléphone portable est-elle sûre ?

Oui, et cela dépend du bon état de l'appareil : le système doit être à jour, aucune application ne doit provenir de l'extérieur de la boutique officielle et aucune application ne doit avoir bénéficié d'autorisations d'accès sans raison valable – c'est ainsi que fonctionnent la plupart des programmes bancaires malveillants.

Foire aux questions

Quel est l'outil le plus important ?

Le gestionnaire de mots de passe, associé à la vérification en deux étapes, permet de résoudre la plupart des risques réels pour l'utilisateur moyen.

Ai-je vraiment besoin d'un VPN ?

À domicile, rarement. Cela se justifie sur les réseaux publics et dans certains contextes professionnels. Si vous comptez l'utiliser, optez pour un service payant et audité ; jamais pour un service gratuit.

Un logiciel antivirus est-il nécessaire sur un téléphone portable ?

Sur Android, avec des installations effectuées uniquement depuis le Play Store et un système à jour, la protection native couvre la plupart des cas. Il est plus judicieux de vérifier les autorisations et d'éviter les fichiers APK provenant de sources externes que d'installer une application de sécurité supplémentaire.

Ces outils sont-ils gratuits ?

Bitwarden, Signal, Proton Mail et DuckDuckGo proposent tous des versions gratuites complètes pour un usage personnel. Les VPN performants sont payants.

Conclusion

Commencez par les bases : un gestionnaire de mots de passe, la double authentification et des mises à jour régulières. Ensuite, si cela s’avère pertinent, ajoutez la messagerie chiffrée, une messagerie plus sécurisée et un navigateur bloquant les traqueurs.

Et évitez les VPN gratuits. Un service coûteux à exploiter et offert gratuitement est financé par quelque chose : votre trafic.

Lire aussi

• Discussions chrétiennes : Les meilleures applications et comment les utiliser en toute sécurité
• Apprendre les langues en ligne : comment créer une routine efficace
• Chat LGBTQI+ : Applications de chat et politique de confidentialité
• Applications de rencontre LGBTQI+ : les meilleures options et comment se protéger
• Regarder des films en ligne gratuitement : combien de données Internet consomment chaque heure ?
• Applications pour se faire des amis en ligne : options réelles et mises en garde