Sur l'App Store, des applis anodines cachaient des outils pour déshabiller n'importe qui

Sur l'App Store, Viefur promettait de transformer la photo de votre chien en portrait. Pour certains utilisateurs, l'application ouvrait pourtant tout autre chose : des modèles de deepfakes sexuels dans lesquels insérer la photo d'une personne réelle. Viefur fait partie des 19 applications qu'Apple a retirées après avoir été contactée par le magazine américain WIRED.

Publiée le 2 novembre, l'enquête de WIRED, menée avec les chercheurs de l'association AI Forensics, décrit un réseau de plus de 400 applications et noms de domaine reliés entre eux. Ces applications se présentaient comme des outils anodins : retouche de photos d'animaux, cours de langue, coach sportif. Classées tous publics et sans le moindre avertissement, elles étaient disponibles sur Google Play comme sur l'App Store.

Comment les applications trompaient les contrôles

Le procédé est simple. À l'installation, l'application envoie à son serveur le pays, la langue, l'identifiant de l'appareil et la manière dont l'utilisateur l'a trouvée. Le serveur décide alors quoi afficher : l'application innocente, ou une interface web cachée avec les outils de déshabillage. Selon la synthèse publiée par Digital Trends, le fait d'avoir cliqué sur une publicité Facebook ou Instagram faisait partie des déclencheurs. Un contrôleur qui teste l'application sans passer par ce chemin ne voit rien.

Certains scénarios proposés mettaient en scène des menaces et des violences. Les utilisateurs achetaient une monnaie virtuelle pour générer les images, parfois payable avec Apple Pay ou Google Pay. Selon WIRED, une grande partie du réseau est liée à des développeurs chinois et à une société de Hong Kong, KeLing Technology Limited, qui a effacé ses traces en ligne après avoir été contactée.

Apple, Google et Meta réagissent après coup

Apple affirme que ces applications respectaient ses règles lorsqu'elles ont été examinées, et que leurs développeurs les ont modifiées ensuite. L'entreprise dit avoir depuis durci ses règles contre les applications de déshabillage et contre ce type de changement après validation. Google avait déjà retiré la plupart des applications concernées, dont une avait dépassé les 100 000 téléchargements. Meta, dont les réseaux servaient à la publicité, avait banni KeLing de sa régie publicitaire en 2025. L'entreprise dit avoir agi depuis contre 11 600 comptes publicitaires et bloqué 209 applications liées. Des publicités similaires continuaient pourtant de réapparaître pendant l'enquête.

Ce que change la loi européenne

L'Union européenne a décidé d'interdire ces outils. Le 16 juin, le Parlement européen a voté une modification du règlement européen sur l'IA, l'AI Act. Elle interdit les systèmes qui créent, sans consentement, des images sexuelles de personnes identifiables. Le calendrier prévoit une entrée en application le 2 décembre 2026. Les amendes pourront atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Pour les parents et les victimes, quelques réflexes s'imposent. Méfiez-vous des applications de retouche photo découvertes par une publicité, et vérifiez leur éditeur et leurs achats intégrés. Signalez tout contenu sur la plateforme Pharos ou au 3018. Une question reste entière : comment les boutiques d'applications pourront-elles contrôler un logiciel qui change de visage après avoir été validé ?