Il y a toute une industrie louche pour les gens qui veulent surveiller et espionner leurs familles. De nombreux fabricants d’applications commercialisent leurs logiciels – parfois appelés stalkerwares – auprès de partenaires jaloux qui peuvent utiliser ces applications pour accéder à distance aux téléphones de leurs victimes.

Pourtant, malgré la sensibilité de ces données, un nombre croissant de ces entreprises en perdent d’énormes quantités.

Selon le décompte de TechCrunch, en comptant le dernier piratage sur mSpy, il y a eu au moins 20 entreprises de stalkerware depuis 2017 qui sont connues pour avoir été piratées ou divulgué les données des clients et des victimes en ligne. Ce n’est pas une faute de frappe : vingt entreprises de stalkerwares ont été piratées ou ont eu une exposition importante de leurs données ces dernières années. Et quatre entreprises de stalkerwares ont été piratées à plusieurs reprises.

Rien qu’en 2024, il y a eu au moins deux piratages massifs de stalkerwares. La violation la plus récente a affecté mSpy, l’une des applications de harcèlement les plus anciennes, et a exposé des millions de tickets d’assistance à la clientèle, qui comprenaient les données personnelles de millions de ses clients.

Auparavant, un pirate inconnu s’était introduit dans les serveurs du fabricant américain de stalkerwares pcTattletale. Le pirate a ensuite volé et divulgué les données internes de l’entreprise. Ils ont également défiguré le site officiel de pcTattletale dans le but d’embarrasser l’entreprise. Le pirate a fait référence à un article récent de fr.techtribune.netdans lequel nous avons signalé que pcTattletale avait été utilisé pour surveiller plusieurs ordinateurs d’enregistrement à la réception d’une chaîne hôtelière américaine.

À la suite de cette opération de piratage, de fuite et de honte, le fondateur de pcTattletale, Bryan Fleming, a déclaré qu’il fermait son entreprise.

Les applications de logiciels espions grand public comme mSpy et pcTattletale sont souvent appelées « stalkerwares » (ou spousewares) car les conjoints et partenaires jaloux les utilisent pour surveiller subrepticement leurs proches. Ces entreprises commercialisent souvent explicitement leurs produits comme des solutions pour attraper les partenaires infidèles en encourageant les comportements illégaux et contraires à l’éthique. Et Il y a eu plusieurs affaires judiciaires, les enquêtes journalistiques, et Smartphones-are-used-to-stalk-control-domestic-abuse-victims »>enquêtes sur les refuges pour victimes de violence domestique qui montrent que le harcèlement et la surveillance en ligne peuvent conduire à des cas de préjudice et de violence dans le monde réel.

Et c’est pourquoi les pirates ont ciblé à plusieurs reprises certaines de ces entreprises.

Eva Galerpin, directrice de la cybersécurité à l’Electronic Frontier Foundation et chercheuse et activiste de premier plan qui a enquêté et combattu les stalkerwares pendant des années, a déclaré que l’industrie des stalkerwares était une « cible facile ».

« Les personnes qui dirigent ces entreprises ne sont peut-être pas les plus scrupuleuses ou vraiment préoccupées par la qualité de leur produit », a déclaré Galperin à TechCrunch.

Compte tenu de l’histoire des compromissions de stalkerwares, c’est peut-être un euphémisme. Et en raison du manque de soin pour protéger leurs propres clients – et par conséquent les données personnelles de dizaines de milliers de victimes involontaires – l’utilisation de ces applications est doublement irresponsable. Les clients des stalkerwares peuvent enfreindre la loi, abuser de leurs partenaires en les espionnant illégalement et, en plus de cela, mettre en danger les données de tout le monde.

Une histoire de piratages de stalkerwares

La vague de violations de stalkerwares a commencé en 2017 lorsqu’un groupe de pirates informatiques a pénétré dans la société américaine Retina-X et le FlexiSpy, basé en Thaïlande dos à dos. Ces deux piratages ont révélé que les entreprises avaient un nombre total de 130 000 clients dans le monde entier.

À l’époque, les pirates informatiques qui ont fièrement revendiqué la responsabilité des compromissions ont explicitement déclaré que leurs motivations étaient d’exposer et, espérons-le, d’aider à détruire une industrie qu’ils considèrent toxique et contraire à l’éthique.

« Je vais les brûler jusqu’au sol et ne laisser absolument aucun endroit où se cacher », a alors déclaré l’un des pirates impliqués à Motherboard.

Se référant à FlexiSpy, le pirate a ajouté : « J’espère qu’ils vont s’effondrer et échouer en tant qu’entreprise, et qu’ils auront un peu de temps pour réfléchir à ce qu’ils ont fait. Cependant, je crains qu’ils n’essaient de renaître d’eux-mêmes sous une nouvelle forme. Mais s’ils le font, j’y serai.

Malgré le piratage et des années d’attention négative du public, FlexiSpy est toujours actif aujourd’hui. On ne peut pas en dire autant de Retina-X.

Le pirate informatique qui s’est introduit dans Retina-X a effacé ses serveurs dans le but d’entraver ses opérations. L’entreprise a rebondi… Et puis il a été piraté à nouveau un an plus tard. Quelques semaines après la deuxième brèche, Retina-X a annoncé qu’il fermait ses portes.

Quelques jours seulement après la deuxième brèche dans Retina-X, les pirates informatiques s’en prennent à Mobistealth et Spy Master Pro, volant des gigaoctets de dossiers de clients et d’entreprises, ainsi que des messages interceptés et des positions GPS précises des victimes. Un autre vendeur de stalkerwares, android-spyware-company-spyhuman »>la société SpyHuman, basée en Inde, a connu le même sort quelques mois plus tard, avec des pirates informatiques qui ont volé des messages texte et des métadonnées d’appel, qui contenaient des journaux indiquant qui a appelé qui et quand.

Quelques semaines plus tard, il y a eu le premier cas d’exposition accidentelle de données, plutôt qu’un piratage. SpyFone a laissé un seau de stockage S3 hébergé par Amazon non protégé en ligne, ce qui signifie que n’importe qui peut voir et Télécharger des messages texte, des photos, des enregistrements audio, des contacts, la localisation, des mots de passe et des informations de connexion brouillés, des messages Facebook et plus encore. Toutes ces données ont été volées aux victimes, dont la plupart ne savaient pas qu’elles étaient espionnées, et encore moins que leurs données personnelles les plus sensibles se trouvaient également sur Internet à la vue de tous.

D’autres sociétés de stalkerwares qui, au fil des ans, ont laissé de manière irresponsable les données des clients et des victimes en ligne, comme FamilyOrbit, qui a laissé 281 gigaoctets de données personnelles en ligne Protégé uniquement par un mot de passe facile à trouver; mSpy, qui a divulgué plus de 2 millions de dossiers de clients en 2018 ; Xnore, qui permettre à n’importe lequel de ses clients de voir les données personnelles des cibles d’autres clients, qui comprenait des messages de clavardage, des coordonnées GPS, des courriels, des photos et plus encore ; Mobiispy, qui a laissé 25 000 enregistrements audio et 95 000 images sur un serveur accessible à tous; KidsGuard, qui disposait d’un serveur mal configuré qui divulguait le contenu des victimes ; pcTattletale, qui, avant son piratage, Captures d’écran exposées des appareils des victimes téléchargées en temps réel à un site Web accessible à tous ; et Xnspy, dont les développeurs ont laissé des informations d’identification et des clés privées dans le code des applications, permettant à quiconque d’accéder aux données des victimes.

En ce qui concerne les autres entreprises de stalkerware qui ont été piratées, il y a eu Copy9, qui a vu Un pirate informatique vole les données de toutes ses cibles de surveillance, y compris les messages texte et les messages WhatsApp, les enregistrements d’appels, les photos, les contacts et l’historique des navigations ; LetMeSpy, qui a fermé ses portes après que des pirates ont violé et effacé ses serveurs ; la société brésilienne WebDetetive, dont les serveurs ont également été effacés, et puis piraté à nouveau; OwnSpy, qui fournit une grande partie du logiciel backend pour WebDetetive, a également été piraté ; Spyhide, dont le code présentait une vulnérabilité permettant à un pirate d’accéder aux bases de données back-end et qui a volé environ 60 000 données de victimes pendant des années ; Oospy, qui était une nouvelle marque de Spyhide, a fermé ses portes pour la deuxième fois ; et le dernier piratage de mSpy, qui n’est pas lié à la fuite mentionnée précédemment.

Enfin, il y a TheTruthSpy, un réseau d’applications de harcèlement, qui détient le record douteux d’avoir été piraté ou d’avoir divulgué des données à au moins trois reprises.

Pirate, mais non repenti

Sur ces 20 entreprises de stalkerwares, huit ont fermé leurs portes, selon le décompte de TechCrunch.

Dans un premier cas unique à ce jour, la Federal Trade Commission (FTC) a interdit à SpyFone et à son directeur général, Scott Zuckerman, d’opérer dans le secteur de la surveillance à la suite d’une défaillance de la Sécurité antérieure qui a exposé les données des victimes. Une autre opération de stalkerware liée à Zuckerman, appelée SpyTrac, a ensuite été interrompue à la suite d’une enquête de TechCrunch.

PhoneSpector et Highster, deux autres sociétés qui n’ont pas été piratées, ont également fermé leurs portes après que le procureur général de New York a accusé les entreprises d’encourager explicitement les clients à utiliser leur logiciel à des fins de surveillance illégale.

Mais la fermeture d’une entreprise ne signifie pas qu’elle est partie pour toujours. Comme pour Spyhide et SpyFone, certains des mêmes propriétaires et développeurs derrière un fabricant de stalkerwares fermé ont simplement changé de marque.

« Je pense que ces pirates font des choses. Ils accomplissent des choses, ils y mettent une brèche », a déclaré Galperin. « Mais si vous pensez que si vous piratez une entreprise de stalkerware, qu’elle va simplement agiter ses poings, maudire votre nom, disparaître dans une bouffée de fumée bleue et ne plus jamais être revue, cela n’a certainement pas été le cas. »

« Ce qui se passe le plus souvent, lorsque vous parvenez à tuer une entreprise de stalkerwares, c’est que l’entreprise de stalkerwares pousse comme des champignons après la pluie », a ajouté Galperin.

Il y a de bonnes nouvelles. Dans un rapport publié l’année dernière, la société de sécurité Malwarebytes a déclaré que L’utilisation des stalkerwares est en déclin, en fonction de ses propres données de clients infectés par ce type de logiciel. En outre, Galperin rapporte une augmentation des avis négatifs sur ces applications, les clients ou les clients potentiels se plaignant qu’elles ne fonctionnent pas comme prévu.

Mais, Galperin a dit qu’il est possible queLes entreprises de sécurité ne sont plus aussi douées pour détecter les stalkerwares qu’auparavant, ou les harceleurs sont passés d’une surveillance logicielle à une surveillance physique activée par les AirTags et autres trackers compatibles Bluetooth.

« Les stalkerwares n’existent pas en vase clos. Les stalkerwares font partie de tout un monde d’abus technologiques », a déclaré Galperin.

Dites non aux stalkerwares

L’utilisation d’un logiciel espion pour surveiller vos proches est non seulement contraire à l’éthique, mais elle est également illégale dans la plupart des juridictions, car elle est considérée comme une surveillance illégale.

C’est déjà une raison importante de ne pas utiliser de stalkerware. Ensuite, il y a le problème que les fabricants de stalkerwares ont prouvé à maintes reprises qu’ils ne peuvent pas protéger les données, qu’il s’agisse des données appartenant aux clients, ni à leurs victimes ou cibles.

En plus d’espionner les partenaires romantiques et les conjoints, certaines personnes utilisent des applications de harceleur pour surveiller leurs enfants. Bien que ce type d’utilisation, du moins aux États-Unis, soit légal, cela ne signifie pas que l’utilisation d’un stalkerware pour espionner le téléphone de vos enfants n’est pas effrayante et contraire à l’éthique.

Même si c’est légal, Galperin pense que les parents ne devraient pas espionner leurs enfants sans leur en informer et sans leur consentement.

Si les parents informent leurs enfants et obtiennent leur feu vert, ils doivent se tenir à l’écart des applications de harcèlement non sécurisées et non fiables, et utiliser des outils de suivi parental intégrés apple.com/en-us/105107″>Téléphones et tablettes Apple et google.com/maps/answer/7326816″>Appareils Android qui sont plus sûrs et fonctionnent ouvertement.

Mis à jour le 16 juillet pour inclure mSpy en tant que dernier logiciel espion à avoir été violé.

Si vous ou quelqu’un que vous connaissez avez besoin d’aide, la Ligne d’assistance nationale contre la violence domestique (1-800-799-7233) offre un soutien gratuit et confidentiel 24 heures sur 24, 7 jours sur 7 aux victimes de violence domestique. Si vous êtes en situation d’urgence, composez le 911. Le Coalition contre les stalkerwares dispose de ressources si vous pensez que votre téléphone a été compromis par un logiciel espion.