Vous avez installé une application VPN gratuite sur votre téléphone Android pour protéger votre vie privée sur le Wi-Fi public du café du coin ? Voici une nouvelle qui risque de gâcher votre café : une équipe de chercheurs vient de démontrer que la grande majorité des applications VPN gratuites les plus populaires ne remplissent tout simplement pas leur mission première. Et les chiffres, présentés lors d’une conférence de sécurité de référence, ont de quoi surprendre.
Une étude d’ampleur, menée sérieusement
L’étude a été conduite par des chercheurs de l’université du Michigan, de l’université du Nouveau-Mexique et de l’IIT Delhi (Inde), et présentée en février 2026 lors de la conférence NDSS, l’un des rendez-vous les plus reconnus dans le monde de la sécurité informatique. Pour mener leurs tests, les chercheurs ont développé un outil baptisé MVPNalyzer, une sorte de banc d’essai automatisé conçu pour analyser en profondeur le comportement réseau des applications VPN sur Android. Au total, 281 applications VPN gratuites, sélectionnées parmi les plus populaires du Google Play Store, ont été passées au crible sur de vrais téléphones tournant sous Android 14.
Précision méthodologique importante : seules les applications réellement gratuites et fonctionnelles sans compte payant ont été retenues dans l’échantillon, ce qui écarte d’office les services premium classiques. Résultat, les applications présentant au moins un problème identifié cumulent, à elles seules, plus de 2,4 milliards d’installations dans le monde.
| 💡 Pour les non-initiés Un VPN (réseau privé virtuel) crée normalement un « tunnel » chiffré entre votre téléphone et Internet, empêchant quiconque sur le même réseau Wi-Fi de voir ce que vous faites en ligne. C’est justement la promesse de base que ces applications ne tiennent pas toujours. |
Les chiffres qui posent question
- 29 applications laissent fuiter du trafic en dehors du tunnel chiffré censé tout protéger dont 24 qui exposent spécifiquement les requêtes DNS, ces « annuaires » qui révèlent quels sites web vous consultez, même quand le contenu de la page reste chiffré.
- 61 applications transmettent une partie de leurs données en clair, sans aucun chiffrement, à travers plus de 10 500 flux de trafic observés. L’application la plus problématique, com.kylovpn, a été responsable, à elle seule, de plus de 2 000 de ces flux non chiffrés.
- 5 applications transmettent même leur fichier de configuration VPN en clair, une faille sérieuse qui permettrait à un attaquant présent sur le même réseau de rediriger la victime vers un serveur malveillant sous son contrôle.
- 246 des 281 applications communiquent avec des domaines publicitaires ou de traçage connus, souvent en collectant des données comme le modèle du téléphone, la version d’Android, et parfois même la position GPS précise de l’utilisateur.
- 169 applications ne font aucun effort pour masquer le trafic VPN, le rendant facilement identifiable par un opérateur réseau ou un système de censure gouvernementale.
| Problème détecté | Nombre d’apps concernées | Installations cumulées |
| Fuite de trafic hors du tunnel | 29 apps | dont 360 millions rien que pour les fuites DNS |
| Données transmises en clair | 61 apps | — |
| Fichier de config en clair (risque de détournement) | 5 apps | — |
| Traçage publicitaire actif | 246 apps sur 281 | — |
Pourquoi c’est plus grave qu’un simple bug
Une application VPN occupe une position particulièrement sensible sur votre téléphone : elle intercepte, par nature, absolument tout votre trafic réseau, y compris celui de vos autres applications. C’est précisément pour cette raison que l’on installe un VPN pour se protéger. Mais quand l’outil censé vous protéger devient lui-même la faille, la confiance placée dans ces applications se retourne complètement contre l’utilisateur. Les chercheurs eux-mêmes résument bien la situation : pour la grande majorité de ces applications gratuites, le modèle économique repose davantage sur la publicité et la collecte de données que sur la sécurité réellement promise.
Comment mieux choisir son VPN
- Méfiez-vous par principe des applications VPN totalement gratuites sans modèle économique clairement expliqué. Si le service est gratuit, la donnée est souvent le vrai produit vendu.
- Privilégiez des fournisseurs ayant fait l’objet d’audits de sécurité indépendants et publiés, plutôt qu’une simple promesse marketing de « zéro journal de connexion ».
- Regardez du côté des solutions VPN open source et auditables comme WireGuard, dont le code peut être vérifié par n’importe qui, plutôt que des applications propriétaires « boîte noire ».
- Testez vous-même les fuites DNS de votre VPN actuel via un site de test de fuite DNS (« DNS leak test« ), une vérification qui prend moins de deux minutes.
Cette étude a le mérite de mettre des chiffres précis sur une intuition que beaucoup d’experts en sécurité partageaient déjà depuis longtemps : la gratuité, dans l’univers des VPN mobiles, se paie souvent d’une manière ou d’une autre. Les chercheurs prévoient de rendre leur outil MVPNalyzer public d’ici peu, avec pour objectif affiché de permettre aux boutiques d’applications et aux régulateurs de mener eux-mêmes ce type de contrôle à grande échelle. Une initiative bienvenue, tant la simple présence d’une application sur le Play Store ne garantit visiblement en rien sa fiabilité en matière de sécurité.
| 🗣️ Et vous, qu’en pensez-vous ? Utilisez-vous une application VPN gratuite sur votre téléphone ? Cette étude vous pousse-t-elle à revoir votre choix ? Avez-vous déjà testé les fuites DNS de votre propre VPN ? Partagez votre expérience en commentaire ! |