Une enquête menée par Proton dresse un portrait peu rassurant des VPN mobiles. Traqueurs publicitaires, accès à la localisation et éditeurs difficiles à identifier concernent plusieurs applications téléchargées des millions de fois.
Installer un VPN pour mieux protéger sa vie privée en ligne n'empêche manifestement pas toujours l'application elle-même de collecter des données. Après avoir examiné plus de 7 000 VPN mobiles dans le monde, Proton s'est penchée plus en détail sur 390 services disponibles aux États-Unis. Résultat, 85 % d'entre eux contiendraient au moins un traqueur et plusieurs dizaines seraient capables d'accéder à la localisation physique de l'appareil.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Des outils de suivi fournis par des partenaires tiers
Pour repérer ces traqueurs tiers, Proton s'est appuyé sur Exodus Privacy, une association française qui passe au crible les applications Android et recense les outils de suivi intégrés à leur code, qu'ils servent à la publicité, à la mesure d'audience ou au profilage.
Exodus fonctionne par analyse statique. Sa plateforme recherche dans les APK la signature de SDK identifiés comme des traqueurs, mais ne vérifie pas leur activité en temps réel. Leur présence ne signifie donc pas que toutes les données auxquelles ils peuvent accéder sont effectivement collectées à chaque utilisation. Elle révèle en revanche que l’on peut retrouver ce type d’outils jusque dans des applications choisies pour protéger la vie privée.
Selon les SDK embarqués, les informations accessibles peuvent inclure l'identifiant publicitaire Android, le modèle du téléphone, le type de réseau ou encore le nom de l'opérateur. Ces composants ne viennent d'ailleurs pas toujours directement de l'éditeur du VPN. Plusieurs services détenus par des sociétés américaines intègrent ceux de partenaires étrangers dans le cadre d'accords commerciaux, tandis que d'autres seraient des produits en marque blanche achetés clés en main puis monétisés par la publicité.
En juin, les applications intégrant des traqueurs liés à des entreprises chinoises auraient ainsi cumulé 1,5 million de téléchargements, contre 1,4 million pour celles associées à la Russie, 2,6 millions à Israël et 4,6 millions aux pays des Five Eyes. Trois des services étudiés appartiennent même à des sociétés spécialisées dans la mesure d’audience et les études de marché : Phone Guardian Safe WiFi à Sensor Tower, My Mobile Secure VPN à Comscore et Urban VPN à BiScience. Pour rappel, ce dernier avait déjà été épinglé pour avoir collecté des conversations échangées avec plusieurs services d’IA.
Plus embarrassant encore, 64 des VPN examinés pourraient également accéder à la position du smartphone. Proton cite notamment VPN Proxy Master, VPN-Fast VPN Super et X-VPN, trois services distribués à grande échelle. Les applications concernées auraient cumulé plus de trois millions de téléchargements en juin 2026.
Des propriétaires parfois bien difficiles à identifier
L’enquête soulève aussi la question de l’identité réelle des éditeurs. Sur les 390 VPN étudiés, Proton dit en avoir relié une soixantaine à des entreprises chinoises. Pour 31 d’entre eux, le propriétaire serait dissimulé derrière des sociétés enregistrées à Hong Kong, Singapour ou au Royaume-Uni.
Un manque de transparence d’autant plus problématique pour un service auquel on confie son trafic Internet que le pays d’origine et la structure juridique de l’entreprise peuvent peser sur les obligations légales auxquelles elle est soumise. En Chine, la loi sur le renseignement national impose notamment aux organisations de soutenir, d’assister et de coopérer avec les services de renseignement.
On rappellera toutefois que Proton commercialise son propre VPN et n’a pas publié avec son enquête la liste complète des 390 applications ni le jeu de données permettant de contrôler les résultats service par service. Malgré tout, plusieurs travaux indépendants ont déjà mis en évidence des pratiques très proches, parmi lesquels une étude présentée au NDSS 2026, l’une des principales conférences internationales de recherche en cybersécurité. Menée sur 281 VPN Android populaires, elle fait notamment état de 76 applications transmettant l’identifiant publicitaire du téléphone, 61 envoyant des données non chiffrées et 29 laissant échapper du trafic utilisateur ou des requêtes DNS en dehors du tunnel VPN.
L’opacité concernant les éditeurs n’est pas nouvelle non plus. Des recherches soutenues par l’Open Technology Fund ont déjà relié plusieurs VPN présentés comme indépendants, dont VPN Proxy Master, Turbo VPN et Snap VPN, à des infrastructures et des opérateurs communs.
Bref, si vous utilisez un VPN, et plus encore un VPN gratuit, lisez les petites lignes. Vérifiez qui l’édite, comment le service se finance, quelles données il collecte, où il est basé et s’il publie des audits indépendants.
