400 applis liées à des deepfakes sexuels, selon une enquête

Viefur habillait la photo d'un chat d'une chemise hawaïenne contre quelques pièces virtuelles. L'application cachait aussi un outil de fabrication de vidéos pornographiques à partir de photos de personnes réelles, rapporte Clubic d'après l'enquête du magazine WIRED. Ces outils de deepfakes sexuels étaient distribués sur l'App Store et sur Google Play, avec paiement par Apple Pay ou Google Pay.

Plus de 400 applications reliées à une société de Hong Kong

Avec l'organisation à but non lucratif AI Forensics et l'entreprise américaine de cybersécurité Infoblox, WIRED a relié Viefur à plus de 400 applications et sites web. Ils sont gérés par des développeurs chinois et par une société enregistrée à Hong Kong, KeLing Technology Limited.

Les façades varient : cours de langue, générateurs de portraits d'animaux, coachs sportifs. Derrière, les services proposent de déshabiller virtuellement une personne sur une photo ou de l'insérer dans une scène sexuelle, parfois violente. Maël Le Touz, chercheur chez Infoblox, a recensé les domaines liés, hébergés en Chine et commentés en chinois dans le code.

Les premières applications du réseau sont apparues fin 2025, d'après les dates d'enregistrement des noms de domaine relevées par Paul Bouchaud, chercheur principal chez AI Forensics. Au plus fort de l'opération, une trentaine d'applications et de sites étaient mis en ligne chaque semaine.

Une version explicite activée à distance

Au téléchargement, le serveur des développeurs reçoit la provenance de l'utilisateur, sa langue et un identifiant unique.

« le serveur répond en indiquant s'il faut afficher la version explicite ou non explicite de l'application », Paul Bouchaud, chercheur principal chez AI Forensics.

Paul Bouchaud, qui a disséqué le code, soupçonne qu'un clic sur l'une des publicités du réseau sur Facebook ou Instagram déclenche l'affichage de la version explicite. Les sites du réseau n'affichent qu'un écran noir, derrière lequel est hébergée l'interface pornographique chargée dans chaque application.

Pour intégrer une personne à l'une des dizaines de scènes proposées, dont des scènes de viol simulé ou de menace au couteau, il faut importer sa photo et acheter des « diamants », la monnaie virtuelle du service. Le mécanisme explique pourquoi les applications ont passé la revue des boutiques : elles se comportaient normalement au moment de leur soumission. Ce contrôle à l'entrée reste la seule barrière des magasins, y compris depuis que l'installation en un clic arrive hors du Play Store.

Retraits chez Apple, Google et Meta

Apple a retiré 19 applications, dont Viefur, après réception des noms de domaine transmis par WIRED. Le 16 octobre, elle a durci ses règles de l'App Store avec une nouvelle section 1.2 sur les images intimes non consenties et une règle 2.5.19 sur les fonctions cachées ou dormantes, selon AI Weekly.

« après leur approbation, leurs développeurs ont modifié le site web d'où provient le contenu de l'application », Adam Dema, porte-parole d'Apple.

Meta, de son côté, a pris des mesures contre 11 600 comptes publicitaires et 15 000 pages liées au réseau après avoir reçu la liste des domaines. Google avait déjà retiré la plupart des applications de son Play Store avant d'être contacté par les enquêteurs.

Un cadre européen déjà écrit

Le règlement européen sur l'IA interdit les systèmes générant des deepfakes sexuels, c'est-à-dire des contenus sexuellement explicites et intimes non consentis ou du matériel pédopornographique, rappelle le ministère de l'Économie. Le gouvernement français avait réagi à la génération par Grok, l'IA générative de X, de fausses vidéos visant des personnes sans leur consentement.

« Il n'y a aucun doute sur ce que l'application promeut », Katie Paul, directrice du Tech Transparency Project.

Alors que WIRED bouclait son enquête, les développeurs publiaient encore de nouvelles applications et de nouvelles publicités.

Ce que ça change pour votre entreprise

Les boutiques d'applications ne garantissent pas la nature réelle d'un outil d'IA : une application validée peut changer de comportement après publication, par simple réponse d'un serveur distant. Le sujet concerne un nombre croissant de structures : 10 % des entreprises françaises de 10 salariés ou plus utilisaient l'IA en 2024, contre 6 % en 2023 (Insee Références, édition 2025), et 26 % des TPE et PME déclaraient utiliser des solutions d'IA en 2025, contre 13 % en 2024 (Baromètre France Num 2025).

Deux réflexes simples limitent le risque. D'abord, vérifier l'éditeur et son adresse légale avant d'autoriser une application sur un téléphone professionnel : une société sans siège identifiable, sans mentions légales ni interlocuteur joignable n'a pas sa place sur un terminal d'entreprise. Ensuite, interdire l'installation d'applications non listées sur les terminaux de l'entreprise, via la gestion de flotte mobile (MDM), qui permet de n'autoriser qu'un catalogue d'applications validées en interne. Les équipes qui testent des générateurs d'images ou de documents ont intérêt à privilégier les éditeurs établis, à l'image des documents modifiables dans Gemini.

Si un salarié a déjà installé l'une de ces applications sur un téléphone professionnel, il faut la désinstaller, vérifier les abonnements et les paiements associés sur le compte Apple ou Google, puis changer le mot de passe du compte.