Les stalkerwares en France : anatomie d'une menace invisible

Ce que fait un stalkerware — concrètement

Un stalkerware est un logiciel commercial installé physiquement sur le téléphone d’une personne, à son insu, pour surveiller l’intégralité de sa vie numérique. Le terme vient de l’anglais to stalk (traquer) et software (logiciel).

Contrairement aux malwares classiques qui ciblent des données bancaires ou des mots de passe, les stalkerwares sont conçus pour un usage relationnel : ils sont utilisés par un partenaire intime, un ex-conjoint ou un membre de la famille dans un contexte de contrôle coercitif.

Une fois installé — en quelques minutes d’accès physique au téléphone —, le logiciel devient totalement invisible : aucune icône dans le menu, aucune notification. L’application fonctionne en arrière-plan et transmet en temps réel à l’agresseur :

• Tous les messages : SMS, WhatsApp, Signal, Telegram, Instagram, Messenger
• Les appels téléphoniques : journaux, enregistrements, durée
• La géolocalisation : position GPS en temps réel, historique des déplacements
• Les photos et vidéos stockées sur l’appareil
• Les frappes clavier (keylogger) : mots de passe, recherches, messages en cours de rédaction
• Le microphone et la caméra : activation à distance, sans aucun signe visible

Le tout est accessible depuis un tableau de bord web, sur l’ordinateur ou le téléphone de l’agresseur, moyennant un abonnement d’environ 30 à 70 € par mois (Citizen Lab, 2019).

L’ampleur du phénomène : les chiffres

Dans le monde

Le rapport annuel State of Stalkerware publié par Kaspersky en mars 2024 (couvrant l’année 2023) recense 31 031 appareils infectés dans le monde, en hausse de 5,8 % par rapport aux 29 312 cas de 2022. Au total, 195 applications de stalkerware différentes ont été identifiées, réparties dans 175 pays.

Les dix pays les plus touchés :

Source : Kaspersky, The State of Stalkerware 2023, p. 5-7

Ces chiffres sont des sous-estimations massives. Ils ne comptent que les appareils protégés par Kaspersky. Les personnes sans antivirus — c’est-à-dire l’immense majorité — ne sont pas comptabilisées. Les stalkerwares sont aussi conçus pour échapper à la détection : une étude conjointe de l’EFF et AV-Comparatives publiée en décembre 2025 conclut que la détection par les antivirus reste « still a mixed bag » — inégale et insuffisante.

En France

La France est le 2e pays européen le plus touché, après l’Allemagne :

Mais les chiffres réels sont d’un tout autre ordre de grandeur. L’étude de référence du Centre Hubertine Auclert (2018), menée auprès de 302 femmes victimes de violences conjugales et 73 professionnel·les en Île-de-France, révèle que :

• 9 femmes sur 10 victimes de violences conjugales ont subi des cyberviolences
• 21 % déclarent que leur partenaire a installé un logiciel espion sur leur téléphone
• 29 % se sentent surveillées dans leurs déplacements par un logiciel espion ou un GPS
• 60 % ont subi une cybersurveillance sous une forme ou une autre

Source : Centre Hubertine Auclert, Rapport sur les cyberviolences conjugales, 2018

Ramené aux 272 400 victimes de violences conjugales enregistrées par les services de sécurité en 2024 (Ministère de l’Intérieur, mars 2025), le chiffre de 332 victimes détectées par Kaspersky ne représente que la pointe visible d’un iceberg massif.

L’évolution sur six ans

Source : rapports annuels Kaspersky 2022 et 2023

La baisse entre 2019 et 2022 ne signifie pas que le phénomène recule : elle reflète la migration des agresseurs vers des outils natifs (partage de localisation iCloud, Google Maps, Find My) et des applications « double usage » plus difficiles à détecter.

Les applications les plus répandues

Les stalkerwares ne sont pas des outils artisanaux. Ce sont des produits commerciaux avec sites web professionnels, support client, et plans tarifaires.

Les plus détectés en 2023

Source : Kaspersky 2023, p. 8

Le cas mSpy : l’industrie en un exemple

mSpy illustre parfaitement le fonctionnement de cette industrie. Développé par Brainstack, une société ukrainienne, le logiciel se présente comme un outil de « contrôle parental » — mais son marketing cible explicitement les partenaires jaloux avec des contenus SEO du type « Comment lire les SMS de mon conjoint sans qu’il le sache ».

Le produit offre : lecture de tous les messages, enregistrement des appels, keylogger, accès aux photos, activation du micro et de la caméra, géolocalisation en temps réel — le tout invisible pour la victime, depuis un tableau de bord web.

mSpy a été piraté trois fois — en 2015, 2018 et 2024. La fuite de 2024 a exposé 2,4 millions d’adresses email de clients et 142 Go de données d’utilisateurs (TechCrunch, juillet 2024). Ironie amère : les entreprises qui vendent de la surveillance ne protègent même pas les données qu’elles volent.

Des entreprises régulièrement piratées

Les fuites de données chez les éditeurs de stalkerwares sont si fréquentes qu’elles constituent un phénomène à part entière :

Sources : TechCrunch, KrebsOnSecurity, TechCrunch (LetMeSpy), TechCrunch (Cocospy)

Comme le résume Eva Galperin, directrice de la cybersécurité à l’Electronic Frontier Foundation et co-fondatrice de la Coalition Against Stalkerware : chaque entreprise de stalkerware finira par être piratée — la question est quand, pas si.

Le problème du « double usage »

Certaines applications ne se présentent pas comme des logiciels espions mais sont massivement détournées à des fins de surveillance conjugale.

Cerberus, par exemple, est une application anti-vol légitime disponible sur le Google Play Store avec des millions de téléchargements. Ses fonctionnalités — mode furtif, prise de photo à distance, activation du micro, géolocalisation — en font un stalkerware clé en main pour qui a accès physique au téléphone de sa victime. Elle figure au 5e rang des applications les plus détectées en 2023 avec 1 816 victimes (Kaspersky 2023).

Life360, application de partage de localisation familiale comptant plus de 33 millions d’utilisateurs actifs, a fait l’objet d’une enquête de The Markup en décembre 2021 révélant que l’entreprise vendait les données de localisation précise de ses utilisateurs à des courtiers en données. Dans un contexte de violences conjugales, l’application peut être utilisée de manière coercitive : l’agresseur exige que la victime partage sa position en permanence.

La Coalition Against Stalkerware a établi un critère simple pour distinguer un outil légitime d’un stalkerware : l’application peut-elle fonctionner en mode furtif, invisible pour l’utilisateur du téléphone ? Si oui, c’est un stalkerware, quel que soit son marketing.

Ce que dit la loi française

Les textes applicables

L’installation d’un logiciel espion sur le téléphone d’autrui sans consentement constitue plusieurs infractions pénales en droit français :

Article 226-1 du Code pénal — Atteinte à la vie privée par captation de paroles, d’images ou de la localisation d’une personne (cette dernière ajoutée par la loi du 30 juillet 2020) :

• 1 an d’emprisonnement et 45 000 € d’amende
• Aggravation conjugale : 2 ans et 60 000 € lorsque les faits sont commis par le conjoint, concubin ou partenaire de PACS

Article 226-15 du Code pénal — Atteinte au secret des correspondances électroniques :

• 1 an et 45 000 €
• Aggravation conjugale (alinéa 3, loi du 30 juillet 2020) : 2 ans et 60 000 €

Article 323-1 du Code pénal — Accès frauduleux à un système de traitement automatisé de données :

• 3 ans et 100 000 € si des données sont modifiées ou supprimées

Article 226-18 du Code pénal — Collecte frauduleuse de données personnelles :

• 5 ans et 300 000 €

La loi du 30 juillet 2020

La loi n° 2020-936 du 30 juillet 2020 visant à protéger les victimes de violences conjugales (analyse Vie Publique) a constitué un tournant. Elle a :

1. Ajouté la géolocalisation aux atteintes à la vie privée de l’article 226-1 — comblant un vide juridique sur les trackers GPS et stalkerwares
2. Créé des circonstances aggravantes spécifiques pour la surveillance par un conjoint ou ex-conjoint
3. Renforcé l’arsenal contre les cyberviolences dans le couple

La jurisprudence récente

Les tribunaux français reconnaissent de plus en plus la surveillance numérique comme une forme de violence :

• Tribunal judiciaire de Paris, 7 janvier 2022 : un juge ordonne le retrait d’une application de géolocalisation installée par un conjoint, qualifiant la surveillance de « violence psychologique »
• Cour d’appel de Versailles, 12 mai 2021 : 8 000 € de dommages-intérêts accordés à une victime de trois ans de surveillance numérique conjugale
• Tribunal judiciaire de Bordeaux, 18 octobre 2022 : reconnaissance de la « dignité numérique » comme composante fondamentale du droit à la vie privée

Source : SLFD Avocat, Le droit face à l’espionnage numérique dans le couple

En termes de poursuites, le Ministère de la Justice rapporte 72 poursuites et 44 condamnations en première instance en 2021 pour géolocalisation sans consentement avec circonstance aggravante conjugale — contre seulement 13 poursuites et 6 condamnations en 2020.

Un cas emblématique : Fireworld

En février 2019, le tribunal correctionnel de Paris a condamné Édouard L., développeur de 22 ans dans les Yvelines, à 8 mois de prison avec sursis et confiscation de 14 923 € de revenus pour la commercialisation de Fireworld, un logiciel espion vendu à environ 200 clients entre 2016 et 2017. Le produit avait généré 31 143 € de chiffre d’affaires. Son marketing incluait des accroches comme « Savoir si mon fils est gay » — révélant la dimension discriminatoire de cette industrie.

Source : Next.ink, Me Thierry Vallat

Et au niveau européen

Le 14 mai 2024, l’Union européenne a adopté la Directive (UE) 2024/1385, première législation européenne spécifiquement consacrée aux violences faites aux femmes. Elle criminalise explicitement le cyberharcèlement, y compris l’installation d’applications de géolocalisation et de stalkerwares. Les États membres ont jusqu’au 14 juin 2027 pour la transposer en droit national.

Les attitudes : la normalisation inquiétante

Une enquête menée par Kaspersky et Arlington Research auprès de 21 000 personnes dans 21 pays révèle des chiffres préoccupants :

• 30 % des personnes interrogées ne voient « aucun problème » à surveiller secrètement leur partenaire
• 64 % déclarent qu’elles surveilleraient leur partenaire si elles le soupçonnaient d’infidélité
• 46 % ne savent pas ce qu’est un stalkerware
• La désapprobation de la surveillance secrète a chuté de 70 % en 2021 à 54 % en 2024

Un sondage Norton Cyber Safety Insights de 2021 (10 000 adultes dans 10 pays, dont 1 000 en France) indique que 34 % des personnes interrogées admettent avoir consulté le téléphone de leur partenaire sans autorisation, et 8 % avoir utilisé une application pour surveiller un partenaire actuel ou passé.

Le lien avec les violences physiques

La surveillance numérique n’est pas un acte isolé. Elle s’inscrit dans un continuum de contrôle coercitif qui peut mener à la violence physique et, dans les cas extrêmes, au féminicide.

En France, 272 400 victimes de violences au sein du couple ont été enregistrées par les services de sécurité en 2024, dont 84 % de femmes (Ministère de l’Intérieur). Seule 1 victime sur 6 dépose plainte.

L’association britannique Refuge rapporte que 72 % des cas de violences conjugales qu’elle traite impliquent une forme d’abus technologique. La Rapporteure spéciale des Nations Unies sur les violences faites aux femmes, Dubravka Šimonović, a reconnu la surveillance numérique comme une forme de violence de genre dans ses rapports au Conseil des droits de l’homme (A/HRC/38/47, 2018).

Les recherches criminologiques identifient la jalousie obsessionnelle et les comportements de surveillance comme l’un des prédicteurs les plus fiables de violence létale dans le couple (Campbell et al., Danger Assessment, 2003). Le stalkerware est la traduction numérique de ce comportement.

Les initiatives françaises de détection

Le programme DULE de la Gendarmerie des Yvelines

En 2023, la gendarmerie des Yvelines a lancé le programme DULE (Détecter Un Logiciel Espion) en partenariat avec La Poste. Le principe : la victime désactive ses données mobiles, scanne un QR code pour se connecter à un dispositif de détection réseau, et les flux sortants sont analysés.

Vériphone / Deloge au tribunal de Paris

Depuis juillet 2022, le bureau d’aide aux victimes du tribunal judiciaire de Paris utilise Vériphone (aussi appelé « Deloge »), un logiciel d’analyse des flux réseau sortants du téléphone. Le rapport généré peut servir d’élément de preuve. Le dispositif est déployé sur des tablettes à moins de 300 € chacune.

PHARE : la détection en profondeur

PHARE va plus loin que l’analyse réseau en combinant trois approches complémentaires : analyse forensique des applications installées (via MVT, créé par Amnesty International), analyse des flux réseau en temps réel (via Suricata), et inspection des configurations iOS (via pymobiledevice3). La base de détection couvre plus de 7 000 indicateurs de compromission issus de 3 sources, dont la base ECHAP (172 applications répertoriées) et les indicateurs Amnesty Tech (Pegasus, Predator, Candiru).

Comment se protéger : les recommandations

La Coalition Against Stalkerware — fondée en novembre 2019 par l’EFF, Kaspersky, Malwarebytes et NortonLifeLock, et comptant aujourd’hui plus de 40 organisations dont ECHAP et le Centre Hubertine Auclert — recommande une approche prudente :

1. Ne pas supprimer le logiciel soi-même — cela peut alerter l’agresseur et mettre la victime en danger physique
2. Contacter une association spécialisée avant toute action technique
3. Documenter les preuves avec l’aide d’un professionnel — le rapport peut servir dans le cadre d’une plainte

Si vous soupçonnez la présence d’un stalkerware, des signes peuvent alerter : batterie qui se vide anormalement vite, consommation de données mobile inexpliquée, chaleur excessive du téléphone au repos, ou applications inconnues dans les paramètres.

Ressources

Urgence et écoute

• 3919 — Numéro national de référence pour les violences faites aux femmes. Gratuit, anonyme, 24h/24. Géré par la Fédération Nationale Solidarité Femmes
• 17 — Police secours (en cas de danger immédiat)

Associations spécialisées

• ECHAP — Collectif hackerféministe de lutte contre les cyberviolences, maintient la base de données d’indicateurs stalkerwares utilisée par PHARE et MVT
• Centre Hubertine Auclert — Centre francilien pour l’égalité, auteur de l’étude de référence sur les cyberviolences conjugales. Propose le guide de protection numérique
• CIDFF — 98 associations locales, 2 400 permanences sur tout le territoire. Trouver un CIDFF près de chez vous
• Coalition Against Stalkerware — Ressources internationales multilingues

Signalement et plainte

• Cybermalveillance.gouv.fr — Assistance et signalement
• CNIL — Plainte en cas de collecte frauduleuse de données personnelles
• Pré-plainte en ligne — pre-plainte-en-ligne.gouv.fr

Pour aller plus loin

• Rapport Kaspersky State of Stalkerware 2023 (PDF complet)
• Rapport Centre Hubertine Auclert Cyberviolences conjugales 2018
• Citizen Lab, The Predator in Your Pocket 2019
• EFF, Surveillance Self-Defense
• Loi du 30 juillet 2020 — Legifrance
• Directive UE 2024/1385 sur les violences faites aux femmes

Si vous accompagnez des victimes de violences conjugales et souhaitez intégrer la détection de stalkerwares dans votre pratique, découvrez PHARE — notre borne physique de détection.