Notification HACKED reçue d’une application : votre téléphone est-il piraté et que faire

Une notification HACKED qui s’affiche sur votre écran au nom d’une application que vous utilisez ne signifie pas que votre téléphone est piraté. Elle indique presque toujours autre chose : quelqu’un a pris la main sur l’outil dont l’éditeur se sert pour envoyer ses notifications, et s’en sert pour faire passer un message, le plus souvent une tentative de chantage adressée à l’entreprise. Votre appareil n’a fait que recevoir ce qu’on lui a envoyé par le canal habituel. Le vrai sujet se trouve ailleurs : si des intrus ont atteint les systèmes de l’éditeur, votre compte et vos coordonnées méritent quelques minutes d’attention. Ne touchez pas la notification, changez le mot de passe du compte, et préparez-vous à recevoir de faux messages dans les semaines qui suivent.

En bref : la solution rapide

• Ne touchez ni la notification ni le lien qu’elle contient. Faites-la glisser pour la supprimer.
• Changez le mot de passe du compte concerné, en passant par le site officiel tapé à la main, puis partout où ce mot de passe a servi.
• Activez la double authentification si l’application la propose et déconnectez les autres sessions.
• Vérifiez vos commandes, vos adresses de livraison et vos moyens de paiement enregistrés.
• Méfiez-vous de tout e-mail, SMS ou appel qui parle de remboursement, de dédommagement ou de « vérification de compte » après l’incident.

Reconnaître une notification HACKED envoyée par une application

Le téléphone vibre, parfois en pleine nuit, et une notification apparaît avec le logo d’une application bien réelle : une boutique de mode, une enseigne de livraison, un service de billetterie. Le texte, lui, n’a rien de commercial. Il contient le mot « HACKED », souvent en capitales, parfois suivi d’un message en anglais et d’un lien vers une messagerie ou un site inconnu.

Le cas le plus documenté est celui de l’application de mode ASOS. De nombreux utilisateurs ont reçu une notification qui commençait par « ASOS HACKED » et s’adressait non pas aux clients, mais au délégué à la protection des données et au service informatique de l’enseigne. Les auteurs y affirmaient avoir compromis l’environnement de données Snowflake de l’entreprise, exigeaient une prise de contact et menaçaient de publier ce qu’ils disaient détenir. Le message renvoyait vers un canal Telegram. Selon BleepingComputer, l’alerte semble avoir touché une très grande partie des utilisateurs.

ASOS a reconnu que des plateformes tierces servant à communiquer avec ses clients avaient été consultées sans autorisation, et que des informations personnelles de base, noms et coordonnées, avaient pu être exposées. L’enseigne a précisé ne pas penser que les données de carte bancaire ou les mots de passe aient été touchés. L’intrusion dans Snowflake, elle, reste une affirmation des pirates : aucune preuve n’a été fournie et l’entreprise ne l’a pas confirmée.

D’une affaire à l’autre, la forme varie : notification unique ou rafale de messages de test, texte adressé à l’entreprise ou directement aux clients, avec ou sans lien.

Pourquoi cela se produit

Une notification push est un message qu’un serveur envoie à votre téléphone, même quand l’application est fermée. Elle ne part jamais directement de l’éditeur vers vous. Elle transite par le service du fabricant du système : Firebase Cloud Messaging chez Google pour Android, Apple Push Notification service (APNs) pour l’iPhone.

Pour que cela fonctionne, votre téléphone obtient au premier lancement de l’application un jeton d’enregistrement, c’est-à-dire un identifiant qui désigne cette installation précise. L’éditeur stocke ce jeton. Quand il veut vous écrire, il présente à Google ou à Apple ses propres identifiants d’envoi (une clé privée de compte de service côté Firebase, une clé de signature ou un certificat côté Apple) accompagnés de la liste des jetons visés.

La plupart des grandes enseignes n’écrivent pas elles-mêmes à ces services. Elles passent par une plateforme d’engagement marketing, un logiciel en ligne où l’équipe marketing rédige une campagne, choisit une audience et clique sur « envoyer ». Ces plateformes détiennent les clés d’envoi, la liste des appareils et, très souvent, des prénoms et des adresses e-mail pour personnaliser les messages.

Celui qui vole un accès à cette plateforme, ou qui met la main sur les clés d’envoi, peut donc écrire à tous les utilisateurs comme s’il était l’éditeur. C’est exactement ce que décrit la formulation d’ASOS sur ses « plateformes tierces de communication ».

Ce que la notification prouve, et ce qu’elle ne prouve pas

Une notification est un affichage, pas un programme. Tant que vous ne touchez pas le lien, elle ne peut rien installer et n’ouvre aucune porte sur l’appareil.

Avant de commencer

Quelques précautions évitent de transformer un incident chez l’éditeur en vrai problème chez vous.

Faites une capture d’écran de la notification avant de la supprimer. Elle servira si vous écrivez à l’entreprise ou à une autorité.

Préparez l’accès à la boîte e-mail liée au compte : le changement de mot de passe passera par elle. Si cette boîte n’est pas protégée par un mot de passe unique et une double authentification, commencez par là. Qui tient votre e-mail peut réinitialiser tous vos autres comptes.

Solution 1 : ignorer la notification et vérifier d’où elle vient

C’est le geste le moins risqué et il règle la moitié du problème.

Étapes

1. Ne touchez pas la notification. Faites-la glisser sur le côté pour la faire disparaître.
2. Ne rejoignez pas le canal de messagerie indiqué, ne répondez à personne.
3. Ouvrez le navigateur, tapez l’adresse officielle de l’enseigne et cherchez un communiqué. Regardez si d’autres utilisateurs décrivent la même notification sur les réseaux sociaux.

Quand l’utiliser : toujours, en premier. Ce que cela risque : rien. Comment vérifier : si des centaines de personnes ont reçu le même texte à la même minute, l’origine se trouve chez l’éditeur et non dans votre téléphone.

Vous avez déjà touché le lien ? Fermez la page. Si vous n’avez rien saisi, rien installé et rien autorisé, le risque reste très faible. Si vous avez entré un identifiant, un mot de passe ou un numéro de carte, passez sans attendre aux solutions 3 et 4.

Solution 2 : contrôler que le téléphone lui-même est sain

Ce contrôle sert surtout à se rassurer.

Sur Android

1. Ouvrez Paramètres > Applications et parcourez la liste complète. Une application que vous ne reconnaissez pas, sans icône ou au nom générique, mérite d’être désinstallée.
2. Ouvrez le Google Play Store, touchez votre photo de profil en haut à droite, puis Play Protect. Lancez une analyse et vérifiez dans Paramètres que l’option « Analyser les applications avec Play Protect » est active.
3. Dans Paramètres, cherchez « Accessibilité » puis « Applications d’administration de l’appareil ». Aucune application inconnue ne doit y figurer.

Sur iPhone

1. Ouvrez Réglages > Général > VPN et gestion de l’appareil. Si un profil de configuration que vous n’avez pas installé vous-même apparaît, supprimez-le.
2. Ouvrez Réglages, touchez votre nom et faites défiler la liste des appareils connectés à votre compte Apple. Retirez ceux que vous ne connaissez pas.

Dans les deux cas, installez les mises à jour système en attente.

Les vrais signes d’un téléphone compromis sont d’un autre ordre : applications apparues seules, fenêtres publicitaires en dehors de toute application, batterie et forfait de données qui fondent sans raison, comptes dont les paramètres de sécurité changent à votre insu, contacts qui reçoivent des messages que vous n’avez pas écrits. Une notification isolée, reçue par tous les clients d’une enseigne, n’entre pas dans cette liste.

Quand l’utiliser : si le doute vous empêche de dormir, ou si vous avez touché le lien. Comment vérifier : analyse Play Protect sans alerte, aucun profil ni appareil inconnu.

Solution 3 : sécuriser le compte de l’application

C’est la partie qui compte vraiment. Même lorsque l’éditeur affirme que les mots de passe ne sont pas touchés, ces déclarations évoluent souvent au fil de l’enquête. Changer un mot de passe coûte deux minutes.

Étapes

1. Depuis le site officiel ou l’application, ouvrez l’espace « Mon compte » puis la rubrique consacrée au mot de passe ou à la sécurité.
2. Choisissez un mot de passe long, que vous n’utilisez nulle part ailleurs.
3. Si vous aviez le même mot de passe sur d’autres services, changez-le aussi là-bas. Commencez par la messagerie, puis la banque, puis les boutiques où une carte est enregistrée.
4. Activez la double authentification (aussi appelée validation en deux étapes) si elle est proposée. Préférez une application d’authentification ou une clé d’accès au code par SMS.
5. Cherchez une option du type « Se déconnecter de tous les appareils » et utilisez-la.

Quand l’utiliser : dans tous les cas, le jour même. Ce que cela risque : vous devrez vous reconnecter sur vos appareils. Comment vérifier : vous recevez l’e-mail de confirmation du changement, et l’ancien mot de passe est refusé.

Solution 4 : vérifier commandes, adresses et carte bancaire

Un compte marchand contient de quoi commander. Vérifiez qu’il n’a pas servi.

1. Ouvrez l’historique des commandes et cherchez un achat que vous n’avez pas passé.
2. Ouvrez le carnet d’adresses. Une adresse de livraison ou un point relais ajoutés à votre insu trahissent une prise de contrôle.
3. Ouvrez les moyens de paiement enregistrés et supprimez les cartes que vous utilisez peu. Les ressaisir au prochain achat prend trente secondes.
4. Consultez vos opérations bancaires pendant plusieurs semaines et activez les alertes de paiement si votre banque les propose.

Les boutiques en ligne ne stockent normalement pas le numéro complet de votre carte, et l’outil d’envoi de notifications n’y a pas accès. Une surveillance suffit donc dans la plupart des cas. Faites opposition seulement si un débit inconnu apparaît, ou si vous avez saisi votre carte sur une page ouverte depuis un lien douteux. Passez par l’application bancaire ou le numéro indiqué par votre banque, puis contestez l’opération par écrit. En France, ce droit est prévu par l’article L133-24 du Code monétaire et financier.

Quand l’utiliser : juste après la solution 3. Ce que cela risque : un peu de confort en moins, et quelques jours sans carte en cas d’opposition. Comment vérifier : aucune commande, adresse ou carte inconnue, aucun débit suspect. En cas d’anomalie, contactez le service client par le site officiel et gardez des captures d’écran.

Solution 5 : vérifier votre adresse e-mail sur Have I Been Pwned

Have I Been Pwned est un service gratuit qui recense les fuites de données rendues publiques. Le centre national de cybersécurité britannique (NCSC) le recommande pour ce type de contrôle.

1. Tapez haveibeenpwned.com dans le navigateur.
2. Saisissez votre adresse e-mail. Le site liste les fuites connues où elle apparaît. Il indique ne pas journaliser les recherches.
3. Utilisez la fonction « Notify me » pour être prévenu si votre adresse figure dans une fuite future.

Quand l’utiliser : quelques jours après l’incident, puis de temps en temps. Sa limite : une fuite n’y figure que lorsque les données ont été publiées et intégrées à la base. Un résultat vierge juste après une annonce ne prouve rien.

Solution 6 : couper les notifications de l’application, ou la désinstaller

Si l’attaquant garde la main sur l’outil d’envoi, d’autres messages peuvent arriver. Couper les notifications le temps que l’éditeur reprenne le contrôle est raisonnable.

Sur Android

1. Ouvrez Paramètres > Notifications > Notifications des applis.
2. Choisissez l’application et désactivez ses notifications.

Plus rapide : faites un appui long sur la notification, touchez l’icône des paramètres, puis désactivez « Toutes les notifications ».

Sur iPhone

1. Ouvrez Réglages > Notifications.
2. Choisissez l’application dans la liste et désactivez « Autoriser les notifications ».

Faut-il désinstaller l’application ? Pas pour des raisons de sécurité. Le problème se situe sur les serveurs de l’éditeur et de ses prestataires, pas dans le code installé sur votre téléphone. La supprimer ne retire pas vos données de leurs bases. Désinstallez-la si vous n’avez plus confiance ou si vous ne l’utilisez plus, mais dans ce cas allez au bout : demandez aussi la suppression du compte.

Solution 7 : ne pas tomber dans le piège des faux messages qui suivent

C’est le risque le plus concret, et il dure des mois. Dès qu’une fuite est annoncée, des escrocs sans aucun lien avec l’attaque initiale envoient des messages qui s’appuient sur l’actualité.

Les formes habituelles :

• un e-mail de « remboursement » ou de « dédommagement suite à l’incident de sécurité » avec un formulaire qui demande la carte bancaire ;
• un SMS annonçant qu’une commande est bloquée ou qu’un colis attend un complément de frais ;
• un appel d’un faux conseiller bancaire qui « a détecté une fraude liée à la fuite » et vous demande de valider une opération ;
• un message proposant d’analyser votre téléphone ou d’installer une application de sécurité.

Le NCSC rappelle qu’une banque ou un organisme officiel ne vous demandera jamais de fournir des informations personnelles de cette façon. Cybermalveillance.gouv.fr donne la même consigne et y ajoute un réflexe simple : recontacter soi-même l’organisme par un canal officiel trouvé sur son site.

En France, un e-mail frauduleux se signale sur signal-spam.fr, un SMS se transfère au 33700, un faux site se déclare sur phishing-initiative.fr.

Tableau récapitulatif

Si rien ne fonctionne : faire valoir vos droits

L’entreprise ne communique pas, ou reste vague sur ce qui a fuité ? Le règlement européen sur la protection des données (RGPD) vous donne des leviers.

D’abord, l’obligation d’information. Une entreprise victime d’une violation de données doit la notifier à son autorité de contrôle dans les 72 heures lorsqu’il existe un risque pour les personnes. Si le risque est élevé, elle doit aussi prévenir directement les personnes concernées, en précisant la nature de la violation, ses conséquences probables, les mesures prises et un contact, en général le délégué à la protection des données.

Ensuite, le droit d’accès. Vous pouvez écrire à l’entreprise pour demander quelles données elle détient sur vous et lesquelles sont concernées par l’incident. La démarche est gratuite. La réponse doit arriver dans un délai d’un mois, qui peut être porté à trois mois pour une demande complexe, à condition de vous en avertir. Adressez-la au délégué à la protection des données, dont le contact figure dans la politique de confidentialité.

Écrivez simplement que vous avez reçu une notification non autorisée via l’application, et demandez si vos données sont concernées, lesquelles, et quelles mesures ont été prises. Joignez la capture d’écran.

Sans réponse au bout d’un mois, ou si la réponse est insatisfaisante, vous pouvez adresser une plainte à la CNIL, en ligne ou par courrier, avec la preuve de vos démarches. La CNIL ne vous obtiendra pas de dommages et intérêts, ce n’est pas son rôle. Pour un préjudice réel (fraude, usurpation d’identité), déposez plainte auprès de la police ou de la gendarmerie, ou écrivez au procureur de la République.

Hors de France, adressez-vous à l’autorité de votre pays. Au Maroc, la CNDP, créée par la loi 09-08, reçoit les plaintes en ligne. En Côte d’Ivoire, l’ARTCI fait office d’autorité de protection des données et dispose d’un portail de dépôt de plaintes. Le Sénégal (CDP) et le Bénin (APDP) ont également leur autorité. Pour une enseigne britannique comme ASOS, l’autorité de son pays d’établissement est l’ICO.

Éviter que cela se reproduise

Vous ne pouvez pas empêcher une entreprise de se faire attaquer. Vous pouvez en revanche réduire ce qu’un pirate trouve à votre nom.

Un gestionnaire de mots de passe règle le problème de la réutilisation : un mot de passe différent par service, généré et retenu par l’outil. Le jour où un site fuit, un seul compte est concerné.

Les alias d’e-mail jouent le même rôle pour votre adresse. Les services « Masquer mon adresse e-mail » d’Apple, ou les alias proposés par certaines messageries, créent une adresse distincte par boutique. Quand un alias reçoit du hameçonnage, vous savez d’où vient la fuite et vous le coupez.

Les cartes virtuelles, proposées par de nombreuses banques, génèrent un numéro à usage unique ou plafonné pour les achats en ligne. Un numéro volé ne vaut alors plus rien.

Supprimez aussi les comptes dormants. Pour les comptes les plus sensibles, messagerie en tête, une clé de sécurité physique offre la meilleure protection contre l’hameçonnage, car elle refuse de répondre à un faux site.

Questions fréquentes

Une notification peut-elle installer un virus toute seule ?

Non. Une notification affiche du texte, parfois une image, et propose un lien. Tant que vous ne touchez rien, aucun programme ne s’installe.

Pourquoi ai-je reçu le message alors que je n’ouvre presque jamais l’application ?

Parce que votre téléphone reste inscrit aux notifications tant que l’application est installée et que vous ne les avez pas coupées. Le jeton d’enregistrement de votre appareil figure toujours dans la liste d’envoi de l’éditeur.

Faut-il réinitialiser le téléphone ?

Non. Une réinitialisation d’usine n’apporte rien quand l’incident se situe chez l’éditeur. Elle ne se justifie que si la solution 2 révèle de vrais signes d’infection que vous n’arrivez pas à supprimer.

L’entreprise me doit-elle un dédommagement ?

Pas automatiquement. Le RGPD prévoit un droit à réparation en cas de préjudice, mais il faut le démontrer, le plus souvent devant un tribunal. Méfiez-vous surtout des messages qui vous en promettent un : c’est le prétexte favori des escrocs.

Vous avez reçu une notification HACKED d’une autre application, ou un faux message de remboursement juste après ? Décrivez-le en commentaire : le nom de l’application et le texte reçu aideront les autres lecteurs à reconnaître la même vague.