Cheval de Troie bancaire sur Android : reconnaître, éviter, réagir
Un logiciel malveillant bancaire sur Android vole vos codes et vos mots de passe sans bruit. Ce guide explique comment il s'installe, comment le repérer, comment s'en protéger et quoi faire, dans l'ordre, si votre téléphone est infecté.
Un cheval de Troie bancaire sur Android s'installe le plus souvent via une application téléchargée hors du Play Store, puis détourne le service d'accessibilité pour voler vos codes. Pour s'en protéger : n'installer que depuis le magasin officiel et garder Play Protect activé ; si vous êtes infecté, coupez les connexions, prévenez votre banque, changez vos mots de passe depuis un autre appareil et déposez plainte.
Un cheval de Troie bancaire est un logiciel malveillant qui se fait passer pour une application utile, puis espionne le téléphone pour voler codes PIN, mots de passe et données de carte. Sur Android, il s'installe le plus souvent avec l'accord involontaire de la victime : c'est pourquoi quelques réflexes suffisent à s'en prémunir, et pourquoi la réaction compte autant que la prévention.
Comment le logiciel malveillant s'installe
Le point commun de nombreuses infections sur Android : l'application ne vient pas du magasin officiel. Elle est proposée par un lien reçu par message, une publicité ou une fausse page qui imite le Google Play Store, souvent pour une application qu'on ne trouve pas légitimement dans la boutique (service de télévision par Internet, fausse mise à jour). L'utilisateur télécharge alors lui-même un fichier d'installation (APK) et autorise l'installation hors boutique.
Une fois en place, ces programmes réclament fréquemment le service d'accessibilité d'Android, une fonction prévue pour aider les personnes en situation de handicap. Détourné, il permet de lire l'écran, d'enregistrer ce qui est saisi et d'afficher de faux écrans par-dessus les vraies applications bancaires. Les arnaques qui commencent par un SMS ou un message vocal de faux livreur, comme celles que nous détaillons dans notre article sur les faux livreurs et leurs messages vocaux, servent de porte d'entrée du même type.
Un exemple documenté : RemControl
En septembre 2026, le rapport de Group-IB sur RemControl (23 septembre 2026) décrit un cheval de Troie bancaire Android qui illustre ce schéma. Les victimes sont attirées vers de fausses pages Google Play imitant TVTap, une application de télévision IPTV absente du Play Store ; les pages contiennent des pixels de suivi Meta, ce qui laisse penser à des publicités sur les réseaux sociaux de ce groupe. Les chercheurs ont confirmé que le logiciel vise les clients de plus de trente banques en Italie, en France, en Espagne, en Pologne, au Portugal, au Canada et dans certains pays du Golfe. Nous avons présenté l'affaire dans notre article sur RemControl.
Le rapport détaille des techniques que l'on retrouve ailleurs :
- le programme d'installation lance un service VPN local qui bloque tout le trafic de l'application Google Play (
com.android.vending), ce qui coupe Play Protect du réseau pendant l'installation ; - il demande le service d'accessibilité dès l'installation, puis affiche de faux écrans sur les applications bancaires, diffuse l'écran en temps réel, enregistre les frappes et peut capturer le schéma de déverrouillage ;
- il surveille les écrans des paramètres consacrés à la gestion des applications, à l'accessibilité et à la réinitialisation, et déclenche automatiquement un retour en arrière pour les fermer, afin d'empêcher la désinstallation.
Les signes qui doivent alerter
Un cheval de Troie bancaire cherche à rester discret, mais certains signaux doivent déclencher un réflexe d'arrêt :
- une application vous demande le service d'accessibilité sans raison claire, juste après son installation ;
- un écran de saisie de code PIN, d'identifiant ou de carte bancaire apparaît de façon inattendue, notamment au-dessus de l'application de votre banque ;
- les écrans de paramètres (applications, accessibilité) se ferment tout seuls quand vous essayez de les ouvrir ;
- une application inconnue est apparue sur le téléphone, ou Play Protect a été désactivé sans que vous l'ayez fait ;
- le téléphone ralentit, la batterie se vide plus vite ou la consommation de données grimpe sans raison.
Ces derniers symptômes, plus banals, ne prouvent rien seuls : ce sont les trois premiers qui doivent faire agir tout de suite.
Se protéger au quotidien
- N'installer que depuis le magasin officiel. Le rapport de Group-IB insiste sur les plateformes officielles, et la fiche de Cybermalveillance.gouv.fr recommande d'éviter les logiciels piratés et les sites douteux. Une application « introuvable » dans le Play Store doit éveiller la méfiance.
- Garder Play Protect activé. Selon l'aide Google sur Play Protect, il est actif par défaut, Google recommande de le laisser actif, et il vérifie les applications à l'installation puis analyse régulièrement l'appareil. Il peut aussi détecter des applications dangereuses venues d'autres sources, et les désactiver ou les supprimer. Si vous constatez qu'il a été coupé sans votre action, considérez-le comme un signe d'alerte.
- Vérifier les autorisations. Le rapport de Group-IB recommande une vigilance particulière avec le service d'accessibilité : refusez-le à toute application dont ce n'est pas la fonction.
- Mettre à jour le système et les applications et sauvegarder régulièrement ses données, deux mesures préventives citées par la fiche réflexe virus de Cybermalveillance.gouv.fr.
- Ne jamais saisir de code PIN ou de données de carte sur un écran apparu de façon inattendue, et, en cas de doute, contacter sa banque par ses canaux officiels.
- Se méfier des liens reçus par SMS, courriel ou réseaux sociaux : on peut aussi se reporter à notre article sur les fausses cartes bancaires par courrier, qui montre comment les faux sites copient l'interface d'une banque.
Que faire si le téléphone est infecté
Arrêter les opérations sensibles
Selon la fiche de Cybermalveillance.gouv.fr, ne consultez plus votre compte bancaire et ne saisissez plus d'informations confidentielles ni de mots de passe tant que l'appareil est suspect.
Couper les connexions
Activez le mode avion, ou coupez le Wi-Fi, le Bluetooth et les données mobiles : la même fiche demande de déconnecter l'appareil infecté pour limiter la propagation et le vol de données.
Prévenir sa banque depuis un autre appareil
Appelez votre banque par son numéro officiel, depuis un autre téléphone, pour signaler la situation et faire bloquer la carte et les accès en ligne. Surveillez ensuite vos comptes.
Changer ses mots de passe, depuis un appareil sain
Cybermalveillance.gouv.fr demande de changer au plus vite ses mots de passe, avec un mot de passe différent pour chaque service. Commencez par la messagerie et les comptes bancaires, et uniquement depuis un appareil non infecté.
Déposer plainte avant de réinstaller
La fiche précise que le dépôt de plainte doit intervenir avant la réinstallation des appareils touchés, auprès du commissariat, de la gendarmerie ou du procureur de la République. Conservez les preuves : captures d'écran, messages reçus, relevés de débits frauduleux.
Nettoyer le téléphone
Lancez une analyse complète, puis désinstallez l'application suspecte. Si les symptômes persistent, la fiche recommande de restaurer le système et, en dernier recours, de réinitialiser ou réinstaller l'appareil après sauvegarde de vos fichiers. Faites attention aux sauvegardes : ne restaurez pas l'application malveillante avec elles.
Le dispositif national 17Cyber (17cyber.gouv.fr), qui s'appuie sur la police, la gendarmerie et Cybermalveillance.gouv.fr, permet d'être orienté en ligne vers les bons réflexes et, selon les cas, de dialoguer avec un policier ou un gendarme. La fiche de Cybermalveillance.gouv.fr y renvoie pour l'assistance en ligne. Si des données personnelles ont circulé, notre article sur les fuites de données explique pourquoi changer ses mots de passe reste utile.
Questions fréquentes
Qu'est-ce qu'un logiciel malveillant ?
C'est un programme conçu pour nuire à un appareil ou à son utilisateur : voler des données, espionner, bloquer des fichiers ou prendre le contrôle à distance. Le cheval de Troie en est une forme, car il se présente comme une application légitime.
Un antivirus suffit-il à protéger un téléphone Android ?
Non, il ne remplace pas les réflexes de base. Cybermalveillance.gouv.fr recommande de combiner antivirus à jour, mises à jour du système et prudence face aux messages et aux logiciels hors source officielle. Le cas RemControl montre aussi qu'un programme peut chercher à couper Play Protect.
Peut-on être infecté en restant sur le Play Store ?
Le risque est plus faible, car Play Protect contrôle les applications du magasin avant leur téléchargement, mais aucune protection n'est absolue. Les infections les plus fréquentes passent par un fichier APK téléchargé hors du magasin officiel.
Pourquoi ne puis-je pas désinstaller l'application ?
Certains programmes surveillent les écrans de paramètres et les ferment automatiquement, comme l'a décrit Group-IB pour RemControl. Dans ce cas, coupez les connexions, prévenez votre banque et demandez de l'aide via 17Cyber plutôt que d'insister.
Dois-je réinitialiser mon téléphone ?
C'est un dernier recours, après sauvegarde de vos fichiers et après le dépôt de plainte, puisque Cybermalveillance.gouv.fr demande de porter plainte avant de réinstaller les appareils touchés.
Journal des modifications
- Mis à jour : première publication, le