Notre téléphone est devenu à la fois un trousseau de clés, un portefeuille, une boîte aux lettres, un album photo, un carnet d’adresses et parfois même un bureau de poche.
Le perdre n’est donc plus seulement contrariant.
Entre les messages, les comptes enregistrés, les applications bancaires, les documents et les mots de passe, une personne qui parvient à le déverrouiller peut rapidement accéder à une partie considérable de notre vie.
Pourtant, quand on parle de sécurité mobile, on commence souvent par chercher une application miracle : un antivirus, un VPN ou un outil qui promet de tout protéger en un bouton.
Le problème, c’est que le meilleur logiciel du monde ne sert pas à grand-chose si le téléphone reste déverrouillé sur la table d’un café, si le même mot de passe ouvre tous les comptes ou si les codes de récupération sont stockés uniquement dans l’appareil que l’on vient de perdre.
Pas besoin pour autant de transformer son smartphone en bunker numérique.
Quelques réglages et de bonnes habitudes permettent déjà de réduire très sérieusement les risques.
Ce que l’on cherche réellement à protéger
La sécurité d’un téléphone repose sur trois couches différentes.
La première concerne l’appareil lui-même. Si quelqu’un le récupère, peut-il l’ouvrir, lire les notifications, utiliser la carte SIM ou modifier les réglages de sécurité ?
La deuxième concerne les comptes et les données. Un téléphone peut être parfaitement verrouillé tout en donnant accès à des comptes protégés par des mots de passe faibles ou réutilisés ailleurs.
La troisième concerne la connexion. Sur quel réseau les données transitent-elles ? Qui contrôle ce réseau ? Quelles informations peuvent être observées ou interceptées ?
Ces trois couches sont complémentaires, mais leur ordre a son importance. On protège d’abord l’accès à l’appareil, puis les comptes qu’il contient et enfin les connexions qu’il utilise.
Protéger l’accès physique au téléphone
Choisir un véritable code de verrouillage
Le premier rempart reste le code de l’écran. Les suites comme 0000, 123456, une date de naissance ou un dessin très simple sont pratiques à retenir. Elles sont également pratiques à deviner, ce qui est moins enthousiasmant.
Utilisez un code suffisamment long et difficile à associer à votre vie personnelle. La reconnaissance faciale ou l’empreinte digitale simplifie ensuite le déverrouillage au quotidien, mais le code demeure la clé de secours de l’appareil. Il mérite donc mieux que l’année de naissance du petit dernier.
Réduisez également le délai de verrouillage automatique. Un téléphone qui attend dix minutes avant de se verrouiller laisse une fenêtre confortable à toute personne qui le ramasse encore allumé.
Masquer les informations sensibles sur l’écran verrouillé
Un téléphone peut rester verrouillé tout en révélant une quantité surprenante d’informations : contenu des messages, rendez-vous, noms des correspondants et parfois codes de validation reçus par SMS.
Sur iPhone, le réglage se trouve dans Réglages > Notifications > Afficher les aperçus. L’option « Si déverrouillé » permet de recevoir les alertes sans afficher leur contenu à n’importe qui. Sur Android, le nom du menu varie selon les fabricants, mais une option équivalente existe généralement dans les réglages de l’écran de verrouillage ou des notifications.
Vérifiez aussi les fonctions utilisables sans déverrouillage : réponses aux messages, centre de contrôle, assistant vocal, portefeuille ou accessoires connectés. Tout n’a pas besoin d’être interdit, mais tout mérite d’être choisi consciemment.
Protéger aussi la carte SIM
Lorsqu’un téléphone utilise une carte SIM physique, un code PIN personnel empêche normalement de retirer cette carte pour l’utiliser immédiatement dans un autre appareil.
Cette précaution est importante, car le numéro de téléphone sert encore souvent à recevoir des codes de connexion ou à récupérer des comptes. Le code PIN par défaut fourni par l’opérateur ne doit évidemment pas être conservé sur un papier glissé dans la coque du téléphone. Ce serait presque dommage d’avoir fait l’effort.
Anticiper la perte ou le vol avant qu’il ne survienne
Les outils de localisation et d’effacement à distance doivent être configurés lorsque le téléphone est encore entre vos mains. Attendre de l’avoir perdu pour découvrir le mot de passe de son compte ou activer une fonction de localisation produit généralement des résultats assez décevants.
Activer la localisation de l’appareil
Sur iPhone, vérifiez que la fonction Localiser est active. Apple propose également une protection en cas de vol de l’appareil, qui ajoute des vérifications supplémentaires pour certaines actions sensibles, notamment lorsque l’iPhone se trouve loin des lieux habituels.
Sur Android, le service Localiser permet de retrouver l’appareil, de le faire sonner, de le signaler comme égaré ou d’en effacer les données. Les modèles compatibles proposent aussi différentes fonctions de protection contre le vol, dont le verrouillage à distance ou le verrouillage après une déconnexion prolongée.
Faites le test une fois depuis un ordinateur ou un second appareil. Il vaut mieux découvrir aujourd’hui qu’un mot de passe a été oublié plutôt que depuis le hall d’un commissariat.
Conserver les informations importantes ailleurs
Notez le numéro IMEI et le numéro de série dans un endroit distinct. L’opérateur ou les autorités peuvent les demander en cas de vol. Une photographie de la boîte d’origine ou une note conservée dans un espace sécurisé suffit, à condition qu’elle ne soit pas uniquement enregistrée sur le téléphone concerné.
Préparez aussi les informations permettant de contacter votre opérateur, de faire opposition aux moyens de paiement et de récupérer vos comptes principaux.
Sauvegarder ce qui ne peut pas être remplacé
La localisation protège l’appareil. La sauvegarde protège ce qu’il contient.
Photos, contacts, documents et conversations importantes doivent être sauvegardés régulièrement, dans le cloud ou sur un autre support. Une sauvegarde mérite également d’être testée : voir apparaître le mot « synchronisé » ne garantit pas toujours que toutes les données auxquelles on tient sont réellement récupérables.
Maintenir le système et les applications propres
Les mises à jour ne servent pas uniquement à déplacer un bouton ou à ajouter une fonction dont personne ne connaissait encore le besoin. Elles corrigent aussi des failles de sécurité découvertes dans le système et les applications.
Activez les mises à jour automatiques ou installez-les rapidement lorsqu’elles sont proposées. Cela vaut pour iOS et Android, mais aussi pour le navigateur, la messagerie, les applications bancaires et le gestionnaire de mots de passe.
Téléchargez les applications depuis les boutiques officielles. Cette précaution ne supprime pas tous les risques, mais elle évite une grande partie des fichiers d’installation modifiés et des fausses applications diffusées sur des sites douteux.
Profitez-en pour supprimer les applications oubliées. Une application que vous n’utilisez plus peut continuer à recevoir des données, conserver des autorisations et réclamer des mises à jour. Moins l’appareil contient de logiciels inutiles, moins il possède de portes qu’il faut surveiller.
Sur iPhone, vérifiez également qu’aucun profil de configuration ou outil de gestion inconnu n’a été installé. Sur Android, méfiez-vous des applications ayant obtenu des droits d’administrateur, d’accessibilité ou l’autorisation d’installer d’autres applications.
Reprendre le contrôle sur les autorisations
Une application de cartographie a besoin de connaître votre position. Une lampe torche, beaucoup moins.
Les autorisations sont souvent accordées rapidement lors de la première ouverture, puis oubliées pendant des années. Il est pourtant utile de vérifier régulièrement quelles applications accèdent à la localisation, au microphone, à la caméra, aux photos, aux contacts, au Bluetooth et au réseau local.
Sur iPhone, rendez-vous dans Réglages > Confidentialité et sécurité. Apple permet notamment de limiter l’accès aux photos, de n’autoriser la localisation que pendant l’utilisation et de consulter le rapport de confidentialité des apps.
Sur Android, cherchez le Gestionnaire d’autorisations dans la rubrique Sécurité et confidentialité. Le chemin exact varie selon la marque et la version, mais le principe reste le même : examiner une permission, puis regarder quelles applications en disposent.
La bonne règle n’est pas de tout refuser. Elle consiste à donner à chaque application ce dont elle a réellement besoin, pendant la durée nécessaire.
Profitez également de cette vérification pour contrôler les applications autorisées à fonctionner en arrière-plan. Une application qui sollicite constamment la position ou le réseau consomme de la batterie et collecte potentiellement davantage d’informations que prévu.
Sécuriser les comptes accessibles depuis le téléphone
Un smartphone bien verrouillé peut tout de même contenir des comptes mal protégés. À l’inverse, des comptes solides permettent de limiter les dégâts même si le téléphone tombe entre de mauvaises mains.
Utiliser des mots de passe uniques
Un mot de passe réutilisé transforme la fuite d’un petit service oublié en clé potentielle pour la messagerie, les réseaux sociaux ou les achats en ligne.
Un gestionnaire de mots de passe permet de créer un identifiant différent pour chaque service sans devoir apprendre cinquante suites de caractères. Son propre accès doit évidemment être protégé par un mot de passe principal robuste et par la double authentification.
Activer la double authentification
La double authentification ajoute une seconde vérification lorsqu’un mot de passe a été découvert. Elle est particulièrement importante pour la messagerie principale, le compte Apple ou Google, les réseaux sociaux, les outils professionnels et les services financiers.
Lorsque le service le permet, utilisez une application d’authentification, une clé d’accès ou une clé de sécurité plutôt que de dépendre uniquement des SMS.
Attention toutefois à ne pas construire une sécurité dont toutes les clés se trouvent dans le même téléphone. Préparez des codes de secours, un appareil de confiance ou une autre méthode de récupération et conservez-les dans un lieu sûr.
Vérifier les appareils déjà connectés
Les comptes Apple, Google, Microsoft et la plupart des grands services permettent de consulter les appareils ou sessions actuellement connectés.
Supprimez les vieux téléphones, ordinateurs inconnus et sessions dont vous ne reconnaissez pas l’origine. Changer un mot de passe sans fermer une session déjà compromise peut laisser l’intrus installé dans le salon, avec les chaussons et la télécommande.
Se méfier des réseaux inconnus
Le Wi-Fi gratuit d’un hôtel, d’une gare ou d’un centre commercial est pratique. Il n’est pas nécessairement malveillant, mais il appartient à un réseau que vous ne contrôlez pas.
Vérifiez le nom exact du point d’accès. Un réseau baptisé « WIFI_GARE_GRATUIT » peut être officiel, ou simplement avoir été créé par quelqu’un assis trois rangées plus loin. En cas de doute, demandez le nom du réseau au personnel.
Désactivez les connexions automatiques aux réseaux ouverts et supprimez les anciens Wi-Fi enregistrés dont vous n’avez plus besoin. Un téléphone ne devrait pas se connecter de lui-même à un réseau simplement parce que son nom ressemble à celui d’un café fréquenté six mois auparavant.
Pour les opérations sensibles, préférez la connexion mobile lorsque la couverture le permet. Si vous partagez votre connexion avec un ordinateur ou un proche, protégez le point d’accès avec un mot de passe solide et désactivez-le après utilisation.
Les recommandations officielles invitent également à couper le Wi-Fi, le Bluetooth ou le NFC lorsqu’ils ne servent pas. L’objectif n’est pas de vivre en mode avion, mais d’éviter de laisser fonctionner en permanence des connexions inutiles.
Ce qu’un VPN protège réellement sur un téléphone
Un VPN crée un tunnel chiffré entre le téléphone et un serveur exploité par le fournisseur du service. Sur un réseau public ou inconnu, cette protection empêche notamment l’administrateur du Wi-Fi ou un observateur local de lire directement le trafic qui passe dans ce tunnel.
Le serveur VPN présente ensuite sa propre adresse IP aux services consultés. Votre opérateur ou le réseau local voit qu’une connexion VPN est utilisée, mais dispose de moins d’informations sur les destinations et le contenu des échanges.
Ce déplacement de confiance doit être compris : le trafic quitte le réseau local pour passer par l’infrastructure du fournisseur VPN. Il faut donc choisir ce dernier avec attention, examiner sa politique de confidentialité et éviter les services gratuits inconnus dont le modèle économique reste mystérieux.
Un VPN ne protège pas un téléphone déverrouillé. Il n’empêche pas non plus de saisir son mot de passe sur une fausse page, d’installer une application malveillante ou de communiquer volontairement un code de validation à un escroc.
Nous avons détaillé plus largement ce qu’un VPN améliore réellement et ce qu’il ne protège pas. Sur un téléphone, il doit être considéré comme une couche supplémentaire pour la connexion, pas comme un bouton rendant soudainement tout l’appareil invulnérable.
Si vous choisissez d’en utiliser un, installez l’application, connectez-vous au compte et testez son fonctionnement avant d’en avoir besoin. Pour préparer cette configuration, vous pouvez voir la page iOS d’ExpressVPN pour plus de détails concernant son téléchargement et son installation sur iPhone ou iPad.
Cette préparation devient particulièrement importante avant un déplacement à l’étranger. Dans certains pays, les applications ou les sites des fournisseurs peuvent être difficiles d’accès une fois sur place. Nous avons consacré un guide spécifique à la manière de préparer ses appareils avant de voyager dans un pays où Internet est filtré.
Reconnaître les arnaques mobiles
Une grande partie des attaques contre les téléphones ne cherche pas à casser leur chiffrement. Elle essaie simplement de convaincre leur propriétaire de fournir lui-même ce qui manque.
Un SMS annonce un colis bloqué. Une notification demande de confirmer un paiement. Un message urgent semble provenir d’un proche. Un QR code collé sur un parcmètre ouvre une page qui ressemble exactement au service attendu.
Le petit écran facilite les erreurs : l’adresse complète d’un site est moins visible, les liens sont plus difficiles à examiner et l’urgence pousse à agir rapidement.
Lorsqu’un message concerne une banque, une administration, une livraison ou un compte important, n’utilisez pas directement le lien reçu. Ouvrez l’application officielle ou saisissez vous-même l’adresse habituelle du service.
Ne communiquez jamais un code de validation reçu par SMS ou généré par une application. Un conseiller légitime n’en a pas besoin pour « sécuriser » votre compte. Ce code sert précisément à prouver que vous êtes la personne en train de réaliser l’opération.
Enfin, méfiez-vous des demandes d’installation d’application, de profil de sécurité ou d’outil d’assistance à distance. Un pirate n’a pas toujours besoin de forcer la porte lorsque quelqu’un accepte gentiment de la lui ouvrir.
La checklist de sécurité mobile en deux minutes
Une fois les principaux réglages configurés, une vérification rapide suffit de temps en temps :
- le téléphone utilise un code de verrouillage robuste ;
- les notifications sensibles restent masquées sur l’écran verrouillé ;
- le système et les applications sont à jour ;
- la localisation et les fonctions de protection contre le vol sont actives ;
- une sauvegarde récente des données importantes existe ;
- le numéro IMEI et les informations de récupération sont conservés ailleurs ;
- les autorisations des applications ont été vérifiées ;
- les comptes essentiels utilisent des mots de passe uniques et une double authentification ;
- des codes de secours sont disponibles en dehors du téléphone ;
- les connexions automatiques aux réseaux Wi-Fi inconnus sont désactivées ;
- le VPN est installé et testé lorsque son usage est nécessaire.
Protéger l’appareil, les comptes et la connexion
La sécurité mobile ne dépend pas d’une application unique. Elle repose sur une succession de barrières simples.
Le verrouillage protège l’accès immédiat. La localisation et la sauvegarde limitent les conséquences d’une perte. Les mots de passe uniques et la double authentification protègent les comptes. Le contrôle des autorisations réduit la collecte inutile. Les bonnes habitudes évitent une grande partie des arnaques. Enfin, sur les réseaux que l’on ne maîtrise pas, un VPN peut renforcer la protection de la connexion.
Aucune de ces mesures n’est parfaite. Ensemble, elles évitent qu’une seule erreur, un téléphone oublié, un mauvais réseau ou un lien ouvert trop vite suffise à exposer toute une vie numérique.
Un téléphone sécurisé n’est pas celui qui possède le plus d’applications de protection. C’est celui dont la perte, le vol ou la connexion à un mauvais réseau ne suffit pas à tout compromettre.
