%3Aquality(100)&w=640&q=75){kind=logo}
Une étude révèle la présence de code chinois et russe intégré dans des applications destinées au personnel militaire américain
STATUT : Vulnérabilité de la chaîne d'approvisionnement GREVEITÉ : 6/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
30 juillet 2026
·Blog
·Communications sécurisées
%3Aquality(100)&w=3840&q=75)
Une analyse menée conjointement par plusieurs universités sur plus de 220 applications Android destinées aux militaires a révélé que la majorité d'entre elles contenaient des composants logiciels d'origine étrangère, notamment du code lié à des entreprises situées dans des pays que le Pentagone classe parmi ses adversaires stratégiques.
Qu'est-ce qui s'est-il passé — et en quoi c'est différent
Un risque lié à la chaîne d'approvisionnement qui se cache à la vue de tous, et non une faille de sécurité. Des chercheurs de l'université Purdue, de l'Académie militaire américaine de West Point et de l'université internationale de Floride ont analysé plus de 220 applications Android commercialisées directement auprès du personnel militaire américain et de leurs familles 1— des trackers d’activité physique, des outils de déploiement et d’entraînement physique, des calculateurs d’avantages sociaux, des forums communautaires et des applications affiliées aux organisations de la Garde nationale des différents États.1 Dirigée par Joshua Shinkle de Purdue, l’étude a révélé que 64 % de ces applications contiennent des kits de développement logiciel (SDK) tiers intégrés provenant de l’extérieur des États-Unis, et que plus d’une application sur huit contient du code provenant d’entreprises basées dans des pays que le Pentagone classe comme des adversaires stratégiques, notamment la Chine et la Russie.¹
Le HMS Core de Huawei, un framework de services mobiles développé par le fabricant chinois de télécommunications, a été détecté dans au moins 12 des applications analysées, dont certaines sont affiliées à des organisations de la Garde nationale.² Les SDK assurent généralement des fonctions courantes — cartes, analyses, services cloud, notifications push — et sont utilisés dans l’ensemble du secteur des applications mobiles, ce qui signifie que la plupart des développeurs n’ont pas écrit eux-mêmes de code à risque ; ils se sont appuyés sur des bibliothèques commerciales et des composants open source sans vérifier l’origine des éléments sous-jacents. Par ailleurs, l’étude a révélé que 40 % des applications collectaient ou partageaient davantage de données utilisateur que ce que leurs développeurs avaient indiqué dans les mentions de confidentialité de l’App Store d’Apple ou de Google Play.¹
Les chercheurs n’ont trouvé aucune preuve indiquant que les SDK observés soient actuellement utilisés pour exfiltrer des données ou mener des activités de surveillance, mais ils soulignent que ces SDK peuvent faire l’objet de mises à jour au fil du temps, ce qui signifie qu’un code qui semble inoffensif aujourd’hui pourrait évoluer après qu’un utilisateur a déjà installé l’application et lui a accordé sa confiance.² Ce schéma n’est pas nouveau : Pushwoosh, une société russe de SDK qui se présentait comme basée aux États-Unis, avait déjà été identifiée comme intégrée dans des applications officielles de l’armée américaine et du CDC avant que Reuters ne révèle ce lien en 2022 ; ces deux organisations ne l’ont supprimée qu’après cette révélation.³ Le Pentagone a refusé de commenter ces nouvelles découvertes.¹
Les conclusions de l'étude — et ce qu'elles impliquent
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
64 % des applications analysées contiennent des SDK tiers provenant de l'étranger.¹ | Les fonctionnalités courantes telles que les cartes, les analyses et les notifications push sont souvent confiées à du code tiers qui n'a pas été écrit par le développeur de l'application lui-même. | L'application de suivi d'activité physique ou d'avantages sociaux d'un militaire peut acheminer des données vers une entreprise externe sans que le développeur de l'application ne le veuille. | Combien de ces SDK disposent de mécanismes de mise à jour à distance susceptibles de modifier leur comportement après leur installation ? |
Plus d'une application sur huit contient du code provenant d'entreprises de pays adversaires, dont 12 utilisent la plateforme HMS Core de Huawei.² | Des entreprises liées à des États-nations s'implantent au sein d'applications utilisées par les militaires et, dans certains cas, par des unités officielles de la Garde nationale. | Même en l'absence d'utilisation abusive à l'heure actuelle, les mécanismes permettant la collecte future de données existent déjà au sein d'applications fiables, commercialisées par le secteur militaire. | Si l'un de ces SDK a fait l'objet de mises à jour depuis son installation, modifiant ainsi son comportement en matière de traitement des données. |
40 % des applications collectent ou partagent davantage de données que ne l'indiquent leurs mentions de confidentialité.¹ | Les mentions relatives à la confidentialité figurant dans les boutiques d'applications minimisent considérablement ce que ces applications font réellement des données des utilisateurs. | Les membres du personnel et leurs proches qui installent une application étiquetée acceptent une collecte de données moins étendue que celle qui est réellement effectuée. | Quelles données ont déjà été collectées concernant cette lacune, et où se trouvent-elles actuellement ? |
Un précédent avéré (Pushwoosh dans les applications de l'Armée et du CDC) montre que c'est la divulgation qui a entraîné le retrait.³ | Une société russe spécialisée dans les SDK s'était auparavant fait passer pour une entreprise américaine proposant des applications officielles de l'armée et du CDC, jusqu'à ce que Reuters révèle la supercherie en 2022. | Jusqu'à présent, la détection reposait sur le travail des journalistes externes, et non sur des contrôles internes, avant que les applications concernées ne soient corrigées. | Reste à savoir si cette découverte, d'une plus grande envergure et validée par des pairs, donnera lieu à un examen systématique ou à un nouveau cycle ponctuel de suppression. |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
Les mentions relatives à la confidentialité sur les boutiques d'applications et une vérification élémentaire des éditeurs suffisent pour savoir ce qu'une application mobile fait réellement des données de l'utilisateur. | 40 % des applications destinées au personnel militaire collectent ou partagent davantage de données que ne l'indiquent leurs mentions de confidentialité, et la chaîne d'approvisionnement des SDK sous-jacents n'apparaît absolument pas dans ces mentions.¹ | La politique d'évaluation et d'autorisation UEM évalue ce que font réellement une application et ses composants intégrés sur un appareil géré, et non ce qu'affirme la description fournie par la boutique d'applications. |
Les applications grand public et liées au mode de vie installées sur les appareils personnels ne relèvent pas du champ d'application des programmes gouvernementaux de sécurité des appareils. | Les outils de déploiement, les applications de suivi des entraînements physiques et les calculateurs d’avantages sociaux conçus pour les militaires présentent les mêmes risques liés à la chaîne d’approvisionnement et aux codes étrangers que n’importe quelle application grand public, et plusieurs d’entre eux sont rattachés à des organisations officielles de la Garde nationale.² | UEM va au-delà des applications de productivité essentielles pour signaler et restreindre l'utilisation des SDK provenant de sources externes dans l'ensemble des applications que le personnel est susceptible d'installer, y compris celles qui leur sont spécifiquement destinées. |
Un risque lié à la chaîne d'approvisionnement qui n'a pas encore été activement exploité ne constitue pas une priorité. | Les SDK peuvent être mis à jour après leur installation ; ainsi, un code jugé sûr au moment de l'installation peut modifier son comportement par la suite sans aucune intervention de l'utilisateur.² Le cas de Pushwoosh montre que ce schéma précis est passé inaperçu pendant des années.³ | La surveillance continue UEM évalue en permanence les appareils gérés et les logiciels qui y sont installés, ce qui permet de détecter une mise à jour ultérieure du SDK plutôt que de se limiter à l'installation initiale. |
Mesures recommandées
IMMÉDIAT | Recenser les applications mobiles utilisées par le personnel militaire, les unités rattachées à la Garde nationale et le personnel lié aux services publics, afin d’identifier le schéma spécifique mis en évidence par cette étude : l’utilisation de SDK tiers provenant d’entreprises de pays adversaires, en particulier le HMS Core de Huawei. |
IMMÉDIAT | Comparez les conclusions de Purdue, West Point et de la FIU avec celles concernant toutes les applications diffusées ou recommandées par les canaux officiels de l'armée ou de la Garde nationale. |
À COURT TERME | Étendre la politique de vérification et d'autorisation UEM afin d'évaluer les SDK tiers intégrés, et non plus uniquement le développeur ou l'éditeur de l'application de premier niveau. |
À COURT TERME | Enregistrez les appareils du personnel dans le système de surveillance continue UEM afin qu’un SDK inoffensif qui reçoit une mise à jour ultérieure plus risquée soit détecté après son installation, et pas seulement lors de la vérification initiale. |
EN COURS | Il faudra voir si cette étude donnera lieu à une obligation de contrôle des applications au niveau du Pentagone, étant donné que le ministère s'est abstenu de tout commentaire jusqu'à présent. |
Poste chez BlackBerry
Un label de confidentialité indique ce qu’un développeur affirme qu’une application fait. Il ne dit rien sur le code tiers qui s’exécute en arrière-plan, et l’étude a révélé que ces labels minimisaient souvent les pratiques réelles de collecte et de partage des données.¹ Pour tout appareil contenant des données gouvernementales ou liées au domaine militaire, la vérification doit porter sur l’ensemble de la chaîne d’approvisionnement, et pas seulement sur la fiche produit proposée sur la boutique en ligne.
Références :
Des applications destinées aux militaires américains contiennent du code chinois et russe
(WIRED, 20 juillet 2026).Des applications destinées au secteur militaire contiennent du code provenant de sources étrangères, ce qui soulève des inquiétudes quant à la sécurité des données
(SC Media, 21 juillet 2026).Des applications destinées aux militaires américains contiennent du code chinois et russe
(Analyse par WIRED du précédent Pushwoosh et de l'enquête menée par Reuters en 2022).
Une étude révèle la présence de code chinois et russe intégré dans des applications destinées au personnel militaire américain
STATUT : Vulnérabilité de la chaîne d'approvisionnement GREVEITÉ : 6/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
30 juillet 2026
·Blog
·Communications sécurisées
Une analyse menée conjointement par plusieurs universités sur plus de 220 applications Android destinées aux militaires a révélé que la majorité d'entre elles contenaient des composants logiciels d'origine étrangère, notamment du code lié à des entreprises situées dans des pays que le Pentagone classe parmi ses adversaires stratégiques.
Qu'est-ce qui s'est-il passé — et en quoi c'est différent
Un risque lié à la chaîne d'approvisionnement qui se cache à la vue de tous, et non une faille de sécurité. Des chercheurs de l'université Purdue, de l'Académie militaire américaine de West Point et de l'université internationale de Floride ont analysé plus de 220 applications Android commercialisées directement auprès du personnel militaire américain et de leurs familles 1— des trackers d’activité physique, des outils de déploiement et d’entraînement physique, des calculateurs d’avantages sociaux, des forums communautaires et des applications affiliées aux organisations de la Garde nationale des différents États.1 Dirigée par Joshua Shinkle de Purdue, l’étude a révélé que 64 % de ces applications contiennent des kits de développement logiciel (SDK) tiers intégrés provenant de l’extérieur des États-Unis, et que plus d’une application sur huit contient du code provenant d’entreprises basées dans des pays que le Pentagone classe comme des adversaires stratégiques, notamment la Chine et la Russie.¹
Le HMS Core de Huawei, un framework de services mobiles développé par le fabricant chinois de télécommunications, a été détecté dans au moins 12 des applications analysées, dont certaines sont affiliées à des organisations de la Garde nationale.² Les SDK assurent généralement des fonctions courantes — cartes, analyses, services cloud, notifications push — et sont utilisés dans l’ensemble du secteur des applications mobiles, ce qui signifie que la plupart des développeurs n’ont pas écrit eux-mêmes de code à risque ; ils se sont appuyés sur des bibliothèques commerciales et des composants open source sans vérifier l’origine des éléments sous-jacents. Par ailleurs, l’étude a révélé que 40 % des applications collectaient ou partageaient davantage de données utilisateur que ce que leurs développeurs avaient indiqué dans les mentions de confidentialité de l’App Store d’Apple ou de Google Play.¹
Les chercheurs n’ont trouvé aucune preuve indiquant que les SDK observés soient actuellement utilisés pour exfiltrer des données ou mener des activités de surveillance, mais ils soulignent que ces SDK peuvent faire l’objet de mises à jour au fil du temps, ce qui signifie qu’un code qui semble inoffensif aujourd’hui pourrait évoluer après qu’un utilisateur a déjà installé l’application et lui a accordé sa confiance.² Ce schéma n’est pas nouveau : Pushwoosh, une société russe de SDK qui se présentait comme basée aux États-Unis, avait déjà été identifiée comme intégrée dans des applications officielles de l’armée américaine et du CDC avant que Reuters ne révèle ce lien en 2022 ; ces deux organisations ne l’ont supprimée qu’après cette révélation.³ Le Pentagone a refusé de commenter ces nouvelles découvertes.¹
Les conclusions de l'étude — et ce qu'elles impliquent
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
64 % des applications analysées contiennent des SDK tiers provenant de l'étranger.¹ | Les fonctionnalités courantes telles que les cartes, les analyses et les notifications push sont souvent confiées à du code tiers qui n'a pas été écrit par le développeur de l'application lui-même. | L'application de suivi d'activité physique ou d'avantages sociaux d'un militaire peut acheminer des données vers une entreprise externe sans que le développeur de l'application ne le veuille. | Combien de ces SDK disposent de mécanismes de mise à jour à distance susceptibles de modifier leur comportement après leur installation ? |
Plus d'une application sur huit contient du code provenant d'entreprises de pays adversaires, dont 12 utilisent la plateforme HMS Core de Huawei.² | Des entreprises liées à des États-nations s'implantent au sein d'applications utilisées par les militaires et, dans certains cas, par des unités officielles de la Garde nationale. | Même en l'absence d'utilisation abusive à l'heure actuelle, les mécanismes permettant la collecte future de données existent déjà au sein d'applications fiables, commercialisées par le secteur militaire. | Si l'un de ces SDK a fait l'objet de mises à jour depuis son installation, modifiant ainsi son comportement en matière de traitement des données. |
40 % des applications collectent ou partagent davantage de données que ne l'indiquent leurs mentions de confidentialité.¹ | Les mentions relatives à la confidentialité figurant dans les boutiques d'applications minimisent considérablement ce que ces applications font réellement des données des utilisateurs. | Les membres du personnel et leurs proches qui installent une application étiquetée acceptent une collecte de données moins étendue que celle qui est réellement effectuée. | Quelles données ont déjà été collectées concernant cette lacune, et où se trouvent-elles actuellement ? |
Un précédent avéré (Pushwoosh dans les applications de l'Armée et du CDC) montre que c'est la divulgation qui a entraîné le retrait.³ | Une société russe spécialisée dans les SDK s'était auparavant fait passer pour une entreprise américaine proposant des applications officielles de l'armée et du CDC, jusqu'à ce que Reuters révèle la supercherie en 2022. | Jusqu'à présent, la détection reposait sur le travail des journalistes externes, et non sur des contrôles internes, avant que les applications concernées ne soient corrigées. | Reste à savoir si cette découverte, d'une plus grande envergure et validée par des pairs, donnera lieu à un examen systématique ou à un nouveau cycle ponctuel de suppression. |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
Les mentions relatives à la confidentialité sur les boutiques d'applications et une vérification élémentaire des éditeurs suffisent pour savoir ce qu'une application mobile fait réellement des données de l'utilisateur. | 40 % des applications destinées au personnel militaire collectent ou partagent davantage de données que ne l'indiquent leurs mentions de confidentialité, et la chaîne d'approvisionnement des SDK sous-jacents n'apparaît absolument pas dans ces mentions.¹ | La politique d'évaluation et d'autorisation UEM évalue ce que font réellement une application et ses composants intégrés sur un appareil géré, et non ce qu'affirme la description fournie par la boutique d'applications. |
Les applications grand public et liées au mode de vie installées sur les appareils personnels ne relèvent pas du champ d'application des programmes gouvernementaux de sécurité des appareils. | Les outils de déploiement, les applications de suivi des entraînements physiques et les calculateurs d’avantages sociaux conçus pour les militaires présentent les mêmes risques liés à la chaîne d’approvisionnement et aux codes étrangers que n’importe quelle application grand public, et plusieurs d’entre eux sont rattachés à des organisations officielles de la Garde nationale.² | UEM va au-delà des applications de productivité essentielles pour signaler et restreindre l'utilisation des SDK provenant de sources externes dans l'ensemble des applications que le personnel est susceptible d'installer, y compris celles qui leur sont spécifiquement destinées. |
Un risque lié à la chaîne d'approvisionnement qui n'a pas encore été activement exploité ne constitue pas une priorité. | Les SDK peuvent être mis à jour après leur installation ; ainsi, un code jugé sûr au moment de l'installation peut modifier son comportement par la suite sans aucune intervention de l'utilisateur.² Le cas de Pushwoosh montre que ce schéma précis est passé inaperçu pendant des années.³ | La surveillance continue UEM évalue en permanence les appareils gérés et les logiciels qui y sont installés, ce qui permet de détecter une mise à jour ultérieure du SDK plutôt que de se limiter à l'installation initiale. |
Mesures recommandées
IMMÉDIAT | Recenser les applications mobiles utilisées par le personnel militaire, les unités rattachées à la Garde nationale et le personnel lié aux services publics, afin d’identifier le schéma spécifique mis en évidence par cette étude : l’utilisation de SDK tiers provenant d’entreprises de pays adversaires, en particulier le HMS Core de Huawei. |
IMMÉDIAT | Comparez les conclusions de Purdue, West Point et de la FIU avec celles concernant toutes les applications diffusées ou recommandées par les canaux officiels de l'armée ou de la Garde nationale. |
À COURT TERME | Étendre la politique de vérification et d'autorisation UEM afin d'évaluer les SDK tiers intégrés, et non plus uniquement le développeur ou l'éditeur de l'application de premier niveau. |
À COURT TERME | Enregistrez les appareils du personnel dans le système de surveillance continue UEM afin qu’un SDK inoffensif qui reçoit une mise à jour ultérieure plus risquée soit détecté après son installation, et pas seulement lors de la vérification initiale. |
EN COURS | Il faudra voir si cette étude donnera lieu à une obligation de contrôle des applications au niveau du Pentagone, étant donné que le ministère s'est abstenu de tout commentaire jusqu'à présent. |
Poste chez BlackBerry
Un label de confidentialité indique ce qu’un développeur affirme qu’une application fait. Il ne dit rien sur le code tiers qui s’exécute en arrière-plan, et l’étude a révélé que ces labels minimisaient souvent les pratiques réelles de collecte et de partage des données.¹ Pour tout appareil contenant des données gouvernementales ou liées au domaine militaire, la vérification doit porter sur l’ensemble de la chaîne d’approvisionnement, et pas seulement sur la fiche produit proposée sur la boutique en ligne.
Références :
Des applications destinées aux militaires américains contiennent du code chinois et russe
(WIRED, 20 juillet 2026).Des applications destinées au secteur militaire contiennent du code provenant de sources étrangères, ce qui soulève des inquiétudes quant à la sécurité des données
(SC Media, 21 juillet 2026).Des applications destinées aux militaires américains contiennent du code chinois et russe
(Analyse par WIRED du précédent Pushwoosh et de l'enquête menée par Reuters en 2022).
%3Aquality(100)&w=3840&q=75)