Il était une fois une ferme à clics : des bureaux et des étagères remplis de smartphones dans un entrepôt asiatique, des travailleurs payés pour cliquer sur des publicités toute la journée. Des images nettes, facilement identifiables, exploitables. Puis vint septembre 2025 et… SlopAdsEt tout a changé.
Plus d'entrepôts. Plus d'employés. Il suffit de 224 applications apparemment anodines sur Google Play et de 38 millions d'utilisateurs qui les téléchargent, croyant obtenir un éditeur photo basé sur l'IA. Votre téléphone devient une usine à clics. Vous devenez un travailleur malgré vous. Et les arnaques en ligne atteignent des niveaux sans précédent : Des milliards de demandes de publicité mensongère par jour. Bienvenue dans l'ère des fermes à clics fantômes, où les escrocs ont cessé d'acheter des téléphones et ont commencé à louer les vôtres.
SlopAds, le crime parfait
Les chercheurs de Sécurité humaine ils ont appelé l'opération SlopAds, un nom qui évoque à la fois le caractère ringard des applications (produites en masse, un peu comme les inepties en matière d'IA qui encombrent Internet) et les faux services sur le thème de l'IA hébergés sur les serveurs de criminels. L'enquête a révélé une architecture criminelle très sophistiquée qui a fonctionné sans interruption sur Google Play pendant des mois.
Les applications fonctionnaient réellement. Éditeurs de photos, générateurs d'images IA, assistants conversationnels : elles tenaient toutes leurs promesses. Mais il y avait un hic. Seuls les utilisateurs ayant téléchargé l'application après avoir cliqué sur une publicité diffusée par les criminels eux-mêmes recevaient le « cadeau supplémentaire ». Un module malveillant appelé FatModule, dissimulées dans quatre images PNG grâce à la stéganographie1 Version numérique. Aucun problème n'a été constaté sur le Play Store. L'application était claire et l'expérience utilisateur normale.
FatModule créait des fenêtres invisibles (WebViews cachées) qui chargeaient des sites contrôlés par les escrocs : de faux portails d’actualités et des jeux HTML5 conçus pour générer des impressions publicitaires en continu. Le téléphone simulait le défilement, les clics et la consultation de ces sites, pendant que l’utilisateur dormait, travaillait ou regardait des séries télévisées.
Ces chiffres donnent le tournis.
Au plus fort de son activité, SlopAds générait 2,3 milliards de fausses requêtes publicitaires chaque jourLes 38 millions d'appareils infectés étaient répartis dans 228 pays : pratiquement partout. 30 % du trafic provenait des États-Unis, 10 % d'Inde et 7 % du Brésil. Et l'Italie ? Elle était également présente, comme toujours lorsqu'il s'agit de… escroqueries en ligne.
Chaque impression frauduleuse générait des micropaiements. Des millions de micropaiements. Les criminels possédaient les sites où les publicités étaient diffusées ; ainsi, chaque clic frauduleux se transformait en argent réel. En Italie, les arnaques en ligne ont déjà coûté plus de 600 millions d'euros en 2024.Cela représente une augmentation de 30 % par rapport à l'année précédente. SlopAds constitue un véritable bond en avant : fini le phishing et les fausses places de marché, place aux appareils transformés en outils de fraude à l'insu même de l'utilisateur.
L'intelligence artificielle comme appât
Les criminels profitent de l'engouement pour l'intelligence artificielle. Applications aux noms accrocheurs : Assistant de diffusion stable, Guide AI, Assistant ChatGLMIls promettaient tous des fonctionnalités d'IA gratuites ou à faible coût. Et les gens ont mordu à l'hameçon, car en 2025, qui ne voudrait pas d'un éditeur photo qui génère des images à partir d'une simple commande ?
Mais l'IA n'a pas été utilisée uniquement comme appât. Uno studio publicato su Rapports scientifiques en juillet 2025 a montré que 70 % des gens sont incapables de distinguer une voix clonée de l'originale. L'intelligence artificielle alimente les arnaques en ligne sur tous les fronts : des appels vocaux truqués se faisant passer pour votre enfant aux bots imitant le comportement humain pour générer de faux clics. Les escrocs ont appris à utiliser l'automatisation et l'apprentissage automatique pour contourner les filtres des plateformes.
Google intervient, mais il est déjà trop tard.
Après le rapport de Sécurité humaineGoogle a supprimé les 224 applications identifiées lors de l'opération SlopAds et a activé Google Play Protect pour avertir les utilisateurs qui les avaient encore installées. Ces derniers ont reçu des notifications les incitant à les désinstaller immédiatement. Fin de l'histoire ? Non.
Les chercheurs sont clairs : La sophistication de SlopAds laisse penser que les criminels adapteront le stratagème pour revenir sur leurs pas.L'infrastructure C2 (commandement et contrôle) identifiée comprenait plus de 300 domaines promotionnels. Ce réseau était trop vaste pour avoir été construit uniquement pour cette opération. Les criminels se préparaient déjà à s'étendre.
Le problème sous-jacent demeure : Google ne détecte que 10 % des fraudes publicitaires. Le reste est simple. Et lorsque les applications fonctionnent comme prévu, il devient quasiment impossible pour les systèmes de vérification automatique du Play Store de distinguer les applications légitimes des applications malveillantes.
SlopAds, que pouvez-vous faire ?
Les défenses classiques sont utiles, mais elles ne suffisent pas. Vérifier les autorisations de l'application C'est un bon début : si un logiciel de retouche photo demande l'accès à votre carnet d'adresses ou à votre géolocalisation, c'est qu'il y a un problème. Téléchargez uniquement à partir de sources officiellesSuper, mais SlopAds était juste là, sur le Play Store officiel. Utiliser un antivirus ? Utile, mais les logiciels malveillants stéganographiques dissimulés dans des images PNG sont difficiles à détecter.
La vérité, c'est que les arnaques en ligne ont évolué. La prudence ne suffit plus. Il est impératif de traiter la fraude publicitaire comme un enjeu de cybersécurité d'entreprise, en impliquant la collaboration des équipes de sécurité et de marketing. La détection doit être instantanée, et non différée de plusieurs mois.
Et vous devez comprendre que votre téléphone peut, aujourd'hui, devenir un outil entre les mains de quelqu'un d'autre sans que vous le sachiez.
Remarque:
- La stéganographie numérique est une technique permettant de dissimuler des informations secrètes dans des fichiers tels que des images, des fichiers audio ou vidéo, de manière à ce que rien d'inhabituel ne soit remarqué. Par exemple, il est possible de cacher un message en modifiant de minuscules parties d'une image, imperceptibles à l'œil nu. Ainsi, quiconque consulte le fichier ne se rendra pas compte qu'il contient un message caché, qui ne peut être extrait que par une personne connaissant la méthode de détection. ??
