Un post a circulé ces dernières semaines : un outil gratuit, promettant de détecter « plus de 12 100 traces » de logiciels espions sur ordinateur et téléphone, sans jamais écrire sur le disque, sans jamais se connecter à Internet, sans demander le moindre droit administrateur. Le nom : Zero Breach Toolkit. Le genre d’annonce qui fait à la fois rêver, une protection sérieuse, gratuite, pour tout le monde, et qui devrait, par réflexe, nous faire tiquer. Une promesse aussi nette et aussi commode mérite d’être vérifiée avant d’être installée sur votre machine ou celle d’un proche.
C’est exactement ce qu’a fait Agentbeam, dans une enquête publiée fin octobre qui confronte chaque affirmation virale au code source réel du projet. Nous avons repris cette vérification, complété avec le dépôt GitHub officiel, un second avis indépendant publié sur un blog spécialisé, et le site qui héberge la version téléchargeable. Résultat : l’outil est réel et sérieux, mais l’annonce qui l’a rendu viral exagère sur deux points précis. Voici le détail, et surtout comment vous en servir sans vous mettre en danger.
Ce que Zero Breach Toolkit prétend faire
Zero Breach Toolkit est un script Python, gratuit et open source (licence Apache 2.0), qui compare des éléments présents sur votre appareil (fichiers, processus au démarrage, historiques, sauvegardes) à une liste d’indicateurs de compromission connus : noms de domaine utilisés par les serveurs de contrôle, adresses IP, empreintes numériques de fichiers malveillants. Il fonctionne, selon le dépôt officiel, sur Windows, macOS, Linux, et peut analyser une collecte Android (via l’outil AndroidQF) ou une sauvegarde iPhone.
Le dépôt se trouve sur GitHub, sous le compte `interplains`. Le site `zerobreachtoolkit.com`, d’où l’outil se télécharge le plus facilement, se présente lui-même comme « independently operated » : un site tiers non affilié aux développeurs du projet, qui propose simplement une version compilée et une documentation. Le projet lui-même est maintenu de façon anonyme : aucune société, aucune personne identifiée ne s’en porte garante.
Les trois promesses virales, passées au crible
L’enquête d’Agentbeam a comparé le texte qui a circulé en ligne avec le code source réel, le README et le fichier PRIVACY.md du projet. Voici le verdict, affirmation par affirmation.
| Affirmation virale | Verdict | Ce que dit réellement le projet |
|---|---|---|
| « Détecte plus de 12 100 traces » | ✅ Globalement confirmé | Le dépôt officiel annonce environ 12 400 indicateurs, issus de 25 sources (Amnesty International Security Lab, MVT, Citizen Lab, Echap). Un noyau d’environ 658 indicateurs est intégré au code ; le reste s’ajoute via une mise à jour optionnelle. |
| « N’écrit jamais sur le disque » | ❌ Inexact | Le fichier PRIVACY.md du projet indique explicitement que l’outil écrit des instantanés temporaires pendant l’analyse, ainsi que les rapports que vous demandez explicitement. |
| « Ne se connecte jamais à Internet » | 🟡 Vrai pour le scan de base seulement | Un scan standard reste hors ligne. Mais la mise à jour des indicateurs (`–update`), la collecte de données Android et un test de connectivité facultatif utilisent bien le réseau. |
| « Ne demande aucun droit administrateur » | ✅ Globalement confirmé | Vrai dans l’ensemble. Exception notable : macOS exige d’accorder un accès complet au disque à l’application Terminal, et l’analyse Android nécessite d’activer le débogage USB : deux permissions sensibles, même si ce ne sont pas des droits « administrateur » au sens strict. |
Agentbeam souligne un point important : ces écarts ne semblent pas délibérés. Le README et le fichier PRIVACY.md du projet les mentionnent ouvertement, c’est le texte promotionnel qui circulait en ligne qui les a gommés en route, probablement en simplifiant à l’excès pour tenir en une ou deux phrases percutantes.
Ce que personne n’a encore vérifié
Un point mérite d’être répété aussi souvent que nécessaire dans ce type de dossier : ni Agentbeam ni nous n’avons exécuté cet outil sur un appareil réellement infecté. Personne, à notre connaissance, n’a publié de test indépendant mesurant son taux de détection réel ni son taux de faux positifs. Le chiffre de « 12 100 traces » décrit la taille de la liste d’indicateurs, pas une performance de détection démontrée.
La documentation du projet le reconnaît elle-même, noir sur blanc : un résultat « No known indicators found » (aucun indicateur connu trouvé) ne prouve absolument pas qu’un appareil est sain. L’outil ne peut repérer que ce qui a déjà été documenté publiquement par des chercheurs. Un logiciel espion neuf, ou simplement non répertorié dans ces 25 sources, passera inaperçu.
Un deuxième avis, pour ne pas se fier à une seule source
Pour éviter de reproduire l’erreur qu’on reproche aux autres, croire une seule source sur parole, nous avons cherché d’autres analyses indépendantes. Un blog technique a publié une procédure détaillée à l’intention des petites entreprises qui voudraient utiliser l’outil avant de faire appel à un spécialiste. Ses réserves recoupent largement celles d’Agentbeam, et en ajoutent d’autres :
- Les exécutables ne sont pas signés. Sous Windows, cela déclenche l’avertissement SmartScreen ; il faut cliquer sur « Exécuter quand même », une manipulation qu’on déconseille habituellement : ici, elle s’explique par le fait qu’un développeur anonyme ne peut pas obtenir de certificat de signature de code à son nom.
- Les indicateurs sont partagés avec d’autres outils. Zero Breach Toolkit s’appuie sur les mêmes sources que MVT ou que les publications de Citizen Lab. Un résultat positif sur plusieurs outils différents n’est donc pas une confirmation indépendante : c’est la même information consultée plusieurs fois.
- L’absence d’un responsable identifiable est en soi un signal à prendre en compte, pas nécessairement une preuve de malveillance. Cela veut dire qu’en cas de bug, de faux positif gênant ou de dérive future du projet, il n’existe personne à qui demander des comptes.
Ce blog propose aussi une procédure de vérification technique avant toute exécution : télécharger uniquement depuis le dépôt officiel, vérifier la signature GPG et l’empreinte SHA-256 publiées, et ne jamais synchroniser un rapport d’analyse sur un service cloud ou le coller dans un assistant IA généraliste, ces rapports peuvent contenir des historiques de navigation et des extraits de messages.
Comment l’utiliser sans se mettre en danger
Si malgré ces réserves vous voulez l’essayer, en particulier si vous êtes journaliste, avocat, militant associatif, agent d’un gouvernement ou simplement inquiet après un message suspect, voici la marche à suivre la plus prudente, construite à partir du README officiel et des deux analyses indépendantes.
- Si vous pensez être réellement ciblé, ne commencez pas par ce script. Le projet le dit lui-même : contactez d’abord une aide spécialisée, comme la Digital Security Helpline d’Access Now, disponible gratuitement et en plusieurs langues. Un scanner automatisé ne remplace pas un examen forensique mené par un professionnel.
- Téléchargez depuis la source officielle : le dépôt GitHub `interplains/Zero-Breach-Toolkit` plutôt qu’un lien partagé sur les réseaux sociaux et vérifiez le hachage SHA-256 du fichier téléchargé par rapport à celui publié pour la version concernée.
- Fermez vos navigateurs et applications de messagerie avant de lancer l’analyse, comme le recommande la documentation, pour éviter des faux positifs liés à des fichiers temporaires en cours d’écriture.
- Lancez le scan de base hors ligne, sans l’option de mise à jour (`–update`) si vous voulez garder l’appareil totalement déconnecté pendant l’analyse.
- En cas de correspondance (« Something matched ») : ne supprimez rien, ne visitez aucune adresse signalée par l’outil, conservez le rapport généré et demandez de l’aide à un professionnel pour l’interpréter.
- Gardez le rapport privé. Il peut contenir des chemins de fichiers, des noms d’utilisateur ou des extraits de conversations. Ne le partagez jamais sur un forum public, un réseau social ou un service d’IA en ligne.
Sur macOS, l’outil demande d’accorder à Terminal un accès complet au disque. Sur Android, l’analyse nécessite d’activer le débogage USB, une option normalement réservée aux développeurs. Ces deux permissions sont puissantes : accordez-les uniquement sur un appareil que vous contrôlez, retirez-les une fois l’analyse terminée, et évitez de les activer sur l’appareil de quelqu’un d’autre sans son consentement explicite.
Et si vous préférez un outil avec un éditeur identifié ?
Zero Breach Toolkit n’est pas la seule option. Pour celles et ceux que l’anonymat du mainteneur dérange, plusieurs alternatives reposent sur les mêmes sources d’indicateurs mais avec une organisation responsable clairement identifiée :
| Outil | Éditeur | Particularité |
|---|---|---|
| Mobile Verification Toolkit (MVT) | Amnesty International | Outil de référence pour Android et iOS, en ligne de commande, utilisé par les chercheurs en sécurité |
| iMazing (fonction de dépistage) | DigiDNA (société commerciale) | Interface graphique, s’appuie en partie sur les mêmes indicateurs MVT, pensé pour un public moins technique |
| iVerify | iVerify Inc. | Application mobile avec surveillance continue, modèle payant pour les fonctions avancées |
Ces outils ne sont pas nécessairement plus fiables techniquement, plusieurs partagent les mêmes listes d’indicateurs que Zero Breach Toolkit, mais ils offrent un interlocuteur identifiable en cas de problème, ce qui compte pour un usage professionnel ou institutionnel.
Un outil utile, à condition de garder la tête froide
Zero Breach Toolkit n’a rien d’une arnaque : les indicateurs qu’il mobilise viennent de sources reconnues dans la recherche en sécurité, le code est public, et les limites du projet sont honnêtement documentées dans ses propres fichiers. Le problème ne vient pas de l’outil, mais de la façon dont il a été présenté au grand public : une annonce virale, simplifiée à l’excès, qui a gommé deux nuances importantes pour paraître plus impressionnante.
C’est une leçon qui dépasse ce seul outil. Un résultat « rien détecté » rassure, mais ne garantit jamais rien, que ce soit avec cet outil ou n’importe quel autre scanner de sécurité gratuit ou payant. Et l’absence d’un éditeur identifiable, même quand le code est irréprochable, reste un point d’attention légitime, en particulier si vous envisagez de recommander cet outil à des personnes réellement exposées, comme des journalistes ou des défenseurs des droits humains.
Et vous, qu’en pensez-vous ?
- Avez-vous déjà utilisé un scanner de spyware comme MVT ou Zero Breach Toolkit ? Qu’en avez-vous retenu ?
- L’anonymat du mainteneur d’un outil de sécurité est-il, selon vous, rédhibitoire, même quand le code est public et vérifiable ?
- Avez-vous un proche exposé (journaliste, militant, avocat) à qui ce type de guide pourrait servir ?
Partagez votre expérience en commentaire.