Le 26 mai, Joseph Cox de 404 Media interviewe Zack Whittaker, le journaliste qui a sorti à peu près tous les leaks stalkerware grand public depuis cinq ans. Verdict, ce n’est pas un marché de niche, c’est un marché de masse. Centaines de milliers de victimes sur un seul réseau. Cible iPhone et Android. Installation par ton conjoint, ton ex, ton colocataire, en deux minutes pendant que tu prends ta douche.

Le fait

Le stalkerware, c’est du spyware vendu à monsieur et madame tout le monde. Pas Pegasus, pas Predator, pas le calibre de spyware mercenaire que Citizen Lab traque depuis Toronto. Le truc qu’on installe sur le téléphone de sa copine pour lire ses messages, écouter ses appels, suivre sa position et activer son micro à distance. Les marques s’appellent Spyzie, Cocospy, Spyic, mSpy, TheTruthSpy.

Whittaker en fait des leaks à répétition depuis 2021. La dernière vague, février 2025, a exposé 518 000 clients de Spyzie dont au moins 4 900 iPhones compromis, et 2,65 millions d’adresses email sur le réseau jumeau Cocospy + Spyic. Plus de trois millions de victimes cumulées sur cette seule famille d’opérateurs.

L’abonnement coûte trente à soixante-dix dollars par mois pour la formule standard, plus si tu prends les modules premium genre micro et caméra. Les sociétés vivent dans des holdings offshore, Chypre, Îles Vierges britanniques, ou directement en Chine. Cocospy, Spyic et Spyzie sont la même équipe, tracée par Whittaker jusqu’à un même opérateur chinois.

mSpy joue un modèle économique identique mais sous une enseigne distincte, héritage Chypre-Ukraine. Quand un leak les expose, ils ferment et rouvrent sous un nouveau nom. Mai 2025, Cocospy disparaît, revient en quelques semaines. Le marché total tourne autour de cent quarante-cinq millions de dollars par an d’après Future Market Insights.

Côté iPhone, la méthode dominante n’a même pas besoin de toucher au téléphone. Ton conjoint connaît ton mot de passe Apple ID, parce que tu le partages, parce qu’il a vu ton iPhone se déverrouiller cent fois, ou parce que vous utilisez le même depuis quinze ans. Il se logue à iCloud depuis un navigateur, télécharge tes sauvegardes, et l’app stalkerware côté serveur fait le tri. Pas d’app sur ton téléphone, rien à détecter en local. C’est la mécanique exacte documentée par Whittaker pour Cocospy, Spyic et Spyzie en 2025.

Variante plus rare mais plus complète : un profil de configuration MDM, le mécanisme conçu à la base pour gérer les flottes d’entreprise. Le proche installe l’app de stalkerware via Apple Configurator sur son Mac, en supervisant ton téléphone avec un câble Lightning ou USB-C. Le profil est marqué removalDisallowed, baptisé d’un nom anodin du genre « iOS Update » ou « Battery Optimizer ». Un mot de passe Temps d’écran que tu ne connais pas masque l’entrée « Gestion d’appareils » dans les Réglages. Tu ne vois rien. Côté Android, c’est l’app camouflée en outil système, planquée derrière un nom générique, avec accessibilité activée pour tout lire à ta place.

Pourquoi ça compte pour toi

C’est ici que la couverture habituelle de la presse cybersec décroche. On parle beaucoup des mercenaires, NSO, Intellexa, Paragon, les milliards d’euros et les cibles diplomatiques. Mais le danger statistique pour un particulier, ce n’est pas un État qui te surveille, c’est ton ex qui te traque. Les États y mettent leur part eux aussi, à pousser pour le contrôle de masse côté législatif comme je l’ai démonté dans Six mois et dix-neuf textes mondiaux, la terrible convergence, mais la fréquence brute de victimes côté domestique écrase tout.

Whittaker répète depuis cinq ans que le stalkerware domestique fait infiniment plus de victimes que tous les spywares mercenaires réunis. La presse l’ignore parce que c’est sale, intime, et que ça n’a pas l’aura géopolitique de Pegasus.

L’asymétrie d’information est totale. L’acheteur tombe sur ces produits en trois clics : faux comparatifs « Top 10 spy apps » dont le site appartient au vendeur, SEO sur les requêtes de jaloux, Reddit avec des comptes affiliés, TikTok au format « POV j’ai pécho mon mec », Google Ads détournés sur « Find My iPhone » ou « family locator ».

Façade marketing « contrôle parental enfants » qui pivote très vite sur « monitor your spouse ». La victime potentielle, elle, ne cherche jamais le mot « stalkerware ». Elle ne sait même pas que ça existe. C’est la définition même d’une menace qu’on ne voit pas venir.

Tu es exactement la cible. Couple avec iPhone et Mac, écosystème Apple intégré, partage iCloud familial, mots de passe communs « parce qu’on se fait confiance ». Le jour où la confiance se fissure, le siphonnage tient en quelques clics depuis un navigateur, ou l’installation MDM en deux minutes pendant que tu fais une course. Et tu ne le sauras qu’en lisant cet article.

Ce que tu fais maintenant

1. Vérifie ton iPhone, profil de configuration et Temps d’écran.
Réglages, Général, VPN et gestion des appareils. Si tu vois un profil que tu n’as pas installé toi-même, surtout avec un nom vague genre « iOS Update », « Battery Saver », « Profile Service », tu désinstalles. Puis Réglages, Temps d’écran. Si un mot de passe est actif et que ce n’est pas toi qui l’as mis, tu désactives via ton Apple ID. Ce mot de passe sert souvent à masquer l’entrée VPN et gestion des appareils. Si le bouton de suppression du profil est grisé ou si le profil revient après un Effacer contenu et réglages, c’est qu’il est marqué removalDisallowed avec supervision DEP active : passage Apple Store nécessaire pour casser la supervision côté serveur Apple. Référence Apple : supprimer un profil de configuration.

2. Reprends le contrôle de tes comptes critiques.
Change immédiatement ton mot de passe Apple ID et active la vérification en deux étapes avec un numéro que ton entourage proche ne contrôle pas. Vérifie la liste des appareils connectés à ton compte Apple ID dans Réglages, ton nom, en haut. Tout appareil que tu ne reconnais pas, tu le supprimes. Active Protection avancée des données iCloud pour passer tes sauvegardes en chiffrement de bout en bout, l’exfiltration discrète depuis le web devient inopérante.

3. Bascule sur des outils E2EE pour ce qui compte.
Messages sensibles sur Signal, pas iMessage. Mots de passe dans un gestionnaire à toi seul, Bitwarden auto-hébergé ou KeePassXC en fichier local, pas un trousseau Apple partagé avec quelqu’un. Backups locaux chiffrés sur disque externe, pas seulement iCloud.

4. Si tu suspectes une installation active, sors du périmètre physique avant d’agir.
Le stalkerware avec micro et GPS te trahit en temps réel. Si tu veux contacter un service d’aide spécialisé sans alerter la personne qui t’espionne, fais-le depuis un appareil et un réseau qui ne sont pas surveillés. La Coalition Against Stalkerware liste des ressources par pays et un kit de réponse pour les victimes.

Sources

• Millions of people are installing malware on their partner’s phones, with Zack Whittaker, 404 Media, 26/05/2026 (source primaire)
• Spyzie stalkerware spying on thousands of Android and iPhone users, TechCrunch, 27/02/2025 (enquête Whittaker, 518k clients + 4 900 iPhones)
• Cocospy and Spyic exposing phone data of millions of people, TechCrunch, 20/02/2025 (architecture du marché, lien 711.icu Chine)
• Cocospy stalkerware apps go offline after data breach, TechCrunch, 19/05/2025 (pattern rebranding post-leak)
• Stalkerware apps escape Google’s ad ban, TechCrunch, 11/08/2020 (contournement Google Ads)
• Coalition Against Stalkerware, ressources victimes

Des termes techniques ? Consulte le glossaire.