Hacktiviste Expose 500 000 Clients Stalkerware
Imaginez que votre carte bancaire, votre adresse email et même les quatre derniers chiffres de votre moyen de paiement se retrouvent soudainement publiés sur un forum de hackers. Pire encore : imaginez que ces informations proviennent de l’achat d’un logiciel destiné à espionner votre conjoint·e, votre enfant ou votre employé·e. C’est exactement ce qui vient de se produire pour plus d’un demi-million de personnes à travers le monde.
En février 2026, un hacktiviste anonyme sous le pseudonyme de wikkid a réussi à extraire une base de données colossale appartenant à un fournisseur majeur d’applications de surveillance téléphonique, communément appelées stalkerware. Ce scandale soulève des questions brûlantes sur la sécurité des données, l’éthique des technologies de surveillance et la vulnérabilité persistante de tout un secteur opaque.
Quand la surveillance se retourne contre ses propres clients
Le secteur du stalkerware prospère depuis plus d’une décennie en exploitant une demande bien réelle : celle de contrôler à distance la vie privée d’autrui. Ces applications, souvent vendues sous des appellations comme uMobix, Xnspy, Geofinder ou Peekviewer, promettent un accès total aux messages, photos, localisation GPS, historique de navigation et même aux conversations WhatsApp ou Instagram de la cible.
Mais derrière ces promesses se cache une réalité bien plus sombre. La plupart de ces outils sont commercialisés explicitement pour espionner un conjoint ou une conjointe, une pratique illégale dans la quasi-totalité des pays démocratiques. Et pourtant, le marché continue de croître, porté par le marketing discret et des paiements relativement anonymes.
Une fuite massive et très détaillée
La base de données compromise contient environ 536 000 lignes. Chaque entrée révèle :
- l’adresse email du client
- le nom de l’application achetée (uMobix, Xnspy, Peekviewer…)
- le montant payé
- le type de carte (Visa, Mastercard…)
- les quatre derniers chiffres de la carte
Si les dates précises des transactions ne figurent pas dans le dump, les enquêteurs de TechCrunch ont pu confirmer l’authenticité des données en réinitialisant des mots de passe via des adresses jetables et en recoupant les numéros de facture directement sur les pages de paiement des applications concernées.
Nous avons vérifié plusieurs dizaines de transactions. Les comptes existent bel et bien et les numéros de facture correspondent exactement à ceux générés par le système de paiement.
– Journalistes de TechCrunch ayant enquêté sur la fuite
Struktura / Ersten Group : une seule entité aux deux visages
Derrière ce vaste catalogue d’applications de surveillance se trouve une société ukrainienne nommée Struktura. Elle opère également sous la marque Ersten Group, présentée comme une startup londonienne spécialisée dans le développement logiciel. Les deux entités partagent exactement le même design de site web, les mêmes formulaires de contact et même certains emails internes.
Parmi les transactions les plus anciennes figure un achat test de 1 $ réalisé avec l’adresse email de Viktoriia Zosim, présentée comme la dirigeante de Struktura. Ni elle ni les représentants d’Ersten Group n’ont répondu aux demandes de commentaire.
Un secteur structurellement vulnérable
Ce n’est malheureusement pas la première fois qu’un acteur du stalkerware voit ses données compromises. Ces dernières années, plusieurs fournisseurs ont subi des fuites importantes :
- 2022 : Xnspy expose les identifiants et données de milliers de victimes
- 2021-2023 : multiples breaches chez FlexiSPY, mSpy, TheTruthSpy et d’autres
- 2024 : plusieurs panels d’administration laissés sans mot de passe
Pourquoi une telle fragilité ? Ces entreprises opèrent souvent dans des juridictions peu regardantes sur la protection des données, emploient des développeurs sous-payés et privilégient la rapidité de mise sur le marché à la sécurité. Résultat : des failles triviales – comme celle exploitée par wikkid – permettent d’extraire des centaines de milliers d’enregistrements en quelques requêtes HTTP mal protégées.
Le hacktivisme comme réponse à la surveillance de masse privée
Le hacker wikkid explique avoir ciblé volontairement ce type d’entreprises parce qu’elles « permettent d’espionner des personnes sans leur consentement ». Il a publié l’intégralité des données sur un forum connu de la scène underground, sans demander de rançon.
Ce geste, bien qu’illégal, s’inscrit dans une logique de « hacktivisme éthique » : rendre publics les clients d’outils illégaux afin de dissuader leur utilisation future. Reste que la diffusion massive d’adresses email et de données bancaires partielles expose aussi des innocents – conjoints trompés, parents inquiets, employeurs abusifs – à des risques de phishing, d’usurpation d’identité ou de chantage.
Quelles leçons pour les utilisateurs et pour la société ?
Pour les personnes tentées d’installer un stalkerware, ce nouvel épisode rappelle une évidence : aucune de ces applications n’est sécurisée. En achetant ces outils, on confie ses données financières et personnelles à des acteurs qui ne respectent ni la loi ni les bonnes pratiques de cybersécurité.
Pour la société dans son ensemble, la persistance du marché du stalkerware pose une question plus large : comment tolérer la commercialisation d’outils dont l’objectif principal est la violation délibérée de la vie privée ? Certains pays commencent à durcir leur législation, mais l’application reste faible tant que les boutiques d’applications et les processeurs de paiement ferment les yeux.
Vers une régulation plus stricte des technologies de surveillance ?
Des associations de défense des droits numériques appellent à une interdiction pure et simple de la vente au grand public des logiciels de surveillance intrusive. D’autres plaident pour une liste noire maintenue par les stores (Google Play, App Store) et les fournisseurs de paiement (Stripe, PayPal, etc.).
Mais tant que la demande existera, l’offre suivra – souvent depuis des serveurs hébergés dans des pays où les poursuites sont quasi impossibles. Le scandale de février 2026 pourrait-il être le déclencheur d’un vrai changement ? L’avenir le dira.
Une chose est certaine : chaque nouvelle fuite renforce l’idée que les technologies de surveillance grand public sont aussi dangereuses pour ceux qui les achètent que pour ceux qu’elles visent. Dans l’univers numérique, la quête de contrôle absolu se paie souvent au prix fort… et pas seulement en dollars.
Le secteur du stalkerware n’a jamais été aussi exposé. Et pourtant, il continue de prospérer. Jusqu’à quand ?
