Applications deepfake : un réseau de 400 applis infiltre les stores

Après les nombreuses affaires de « nudification » qui ont secoué les plateformes depuis le début de l’année, un réseau de plus de 400 applications deepfake déguisées en outils du quotidien a été mis au jour le 2 novembre 2026 sur l’App Store d’Apple et sur Google Play. Présentées comme des retouches photo pour animaux, des cours de langue ou des coachs sportifs, ces applis pouvaient basculer à distance vers un générateur d’images et de vidéos sexuelles truquées, à partir de simples photos envoyées par l’utilisateur. Apple a retiré 19 applications, et Google avait déjà supprimé la plupart de celles qui étaient en ligne sur sa boutique.

Comment ces applications deepfake trompaient les contrôles

Le mécanisme reposait sur un interrupteur installé côté serveur. Au premier lancement, l’application transmettait à un serveur distant quelques informations sur l’appareil : la provenance de l’utilisateur, la langue du téléphone et un identifiant unique. Ce serveur décidait ensuite d’afficher soit l’application annoncée, parfaitement banale, soit une interface web cachée servant à fabriquer des « deepfakes », ces montages réalistes produits par l’intelligence artificielle qui collent le visage d’une personne réelle sur un corps ou une scène inventés.

Un des déclencheurs identifiés était l’installation de l’appli après un clic sur une publicité diffusée sur Facebook ou Instagram. Un examinateur d’Apple ou de Google, qui téléchargeait l’application directement depuis la boutique, ne voyait donc que la façade. Les adresses des sites associés, consultées en direct, n’affichaient qu’un écran noir.

Une fois l’interface cachée ouverte, l’utilisateur achetait des crédits (des « diamants » ou des « pièces ») pour générer des contenus à partir de dizaines de modèles pornographiques. Certains mettaient en scène des violences sexuelles explicites. Les paiements passaient par Apple Pay et Google Pay, donc par les systèmes de facturation des deux géants. Dans le cas de Viefur, une application censée habiller des photos d’animaux, 130 pièces coûtaient environ 4 dollars.

Une opération industrielle pilotée depuis la Chine

L’ampleur du réseau est ce qui frappe le plus. L’organisation à but non lucratif AI Forensics, spécialisée dans l’audit des algorithmes, a repéré l’opération début septembre 2026 et recensé plus de 400 applis de ce type sur les deux boutiques. Son chercheur principal, Paul Bouchaud, a décortiqué le fonctionnement de l’interrupteur. De son côté, un chercheur de la société de cybersécurité Infoblox, Maël Le Touz, a relié près de 500 noms de domaine qui partageaient le même code et pointaient les uns vers les autres.

Au plus fort de l’activité, au printemps 2026, une trentaine de nouveaux sites ou applications de ce réseau apparaissaient chaque semaine.

Les premières applications sont apparues à la fin de l’année 2025, avant une accélération nette au printemps. Les registres des noms de domaine renvoient à KeLing Technology Limited, une société enregistrée à Hong Kong, et à des développeurs chinois : hébergement en Chine, commentaires rédigés en chinois dans le code, filigranes d’un logiciel de montage vidéo chinois. Après les premières questions des chercheurs, les opérateurs ont tenté d’effacer les traces publiques menant à cette entreprise, qui n’a pas répondu aux sollicitations.

Ce que révèlent les chiffres de Google Play

En septembre, 27 applications liées au réseau étaient encore disponibles sur Google Play, avec plus de 350 000 téléchargements cumulés. Beaucoup étaient classées tout public. L’une d’elles, DiffAI, publiée en décembre 2025, avait dépassé à elle seule les 100 000 téléchargements avant d’être retirée ; plusieurs avis d’utilisateurs relevaient l’absence de toute vérification de l’âge.

Google avait supprimé la majorité de ces applis avant d’être contacté par la presse, sans communiquer de chiffre précis. À titre de comparaison, une enquête publiée en janvier 2026 par l’association américaine Tech Transparency Project avait déjà recensé 55 applications de « nudification » sur Google Play et 47 sur l’App Store, dont 38 présentes dans les deux boutiques. Le phénomène n’est donc pas nouveau, mais la technique du déguisement le rend bien plus difficile à repérer.

Les réponses d’Apple et de Meta

Apple a retiré 19 applications après avoir reçu la liste des domaines concernés, dont Viefur. L’entreprise explique que chaque appli est examinée avant sa publication et que celles-ci respectaient ses règles au moment de leur validation : ce sont les sites web chargés par les applications qui ont été modifiés ensuite pour diffuser du contenu interdit. Apple affirme avoir suspendu des dizaines de milliers d’applications pour ce type de manœuvre, dite « bait-and-switch » (appât puis substitution), au cours de la dernière année, et rappelle avoir durci ses règles le 17 octobre 2026 contre les outils de nudification.

Meta, dont les réseaux sociaux servaient de vitrine, indique avoir banni KeLing de sa régie publicitaire dès 2025. Le groupe dit avoir sanctionné environ 11 600 comptes publicitaires et 5 200 utilisateurs, et empêché 209 applications de faire de la publicité. Des milliers de vidéos promotionnelles avaient pourtant circulé sur Facebook et Instagram, certaines mettant en scène des mineurs générés par IA.

Ces campagnes font écho à l’enquête européenne ouverte sur les deepfakes de Grok en début d’année, et rappellent les extensions Chrome malveillantes qui ont piégé 13,4 millions d’internautes fin octobre : dans les deux cas, des outils validés par une boutique officielle changent de comportement après leur installation.

Quelles conséquences en France et en Europe ?

Les utilisateurs français sont directement concernés, puisque les applications étaient distribuées sur les boutiques mondiales d’Apple et de Google. En France, la création et la diffusion d’un montage à caractère sexuel représentant une personne sans son consentement constituent un délit, puni de deux ans d’emprisonnement et de 60 000 euros d’amende depuis la loi SREN de mai 2024, des peines alourdies lorsque le contenu est publié en ligne.

Le calendrier européen se resserre aussi. Selon AI Forensics, l’interdiction des applications de nudification par l’Union européenne doit entrer en application d’ici un mois environ. Or, au moment où l’enquête a été rendue publique, de nouvelles publicités et de nouvelles applis du même réseau continuaient d’être mises en ligne.