Code pour savoir si mon téléphone est espionné : la vérité

Taper *#21# pour démasquer un espion : le réflexe est répandu, et il repose sur un malentendu. Les codes qui circulent sur ce sujet, celui-là en tête, disent une seule chose : si vos appels sont renvoyés vers un autre numéro. C’est utile, mais cela ne couvre qu’une façon d’espionner sur cinq, et de loin la moins répandue. Les vraies vérifications se font dans les réglages du téléphone et dans ceux de vos comptes. Elles prennent un quart d’heure.

Cet article reprend chaque code, explique ce qu’il interroge réellement, puis détaille les contrôles qui permettent de répondre vraiment à la question.

Les codes à composer, et ce qu’ils affichent vraiment

Les codes qui commencent par une étoile ou un dièse s’appellent des codes MMI (ou IHM en français, pour interface homme-machine). Ils sont définis par la norme GSM et fonctionnent sur la plupart des téléphones et des réseaux. On les tape dans le clavier de l’application Téléphone, comme un numéro, puis on appuie sur la touche d’appel.

Leur rôle : envoyer une question ou un ordre à l’opérateur, pas au téléphone. Le tableau ci-dessous reprend ceux que citent la plupart des guides, avec leur fonction exacte.

Certains guides ajoutent des codes de service propres à un fabricant, par exemple des suites de chiffres longues qui ouvrent un menu d’usine sur d’anciens Samsung. Ces menus servent aux techniciens. Aucun ne liste les applications espionnes.

Pourquoi aucun code ne peut détecter un logiciel espion

Un code MMI dialogue avec le réseau de votre opérateur. Un logiciel espion, lui, vit dans le téléphone ou dans vos comptes en ligne. Les deux ne se croisent jamais.

Prenons le cas d’une application de surveillance installée à votre insu. Elle lit vos messages, vos photos ou votre position directement sur l’appareil, puis envoie tout par internet vers un serveur. Elle ne touche pas à la configuration de vos appels chez l’opérateur. Composer *#21# interroge l’opérateur, qui répond honnêtement : aucun renvoi. Le logiciel continue de tourner.

Même chose pour l’espionnage par un compte partagé. Si quelqu’un connaît le mot de passe de votre compte Google ou de votre identifiant Apple, il peut consulter vos photos, vos contacts ou vos messages synchronisés depuis son propre appareil. Rien ne passe par le réseau téléphonique. Aucun code ne peut le voir.

On lit parfois qu’une fausse antenne relais, appelée IMSI-catcher, trahirait sa présence par un code. C’est faux aussi. Ces appareils imitent une antenne de l’opérateur pour capter les téléphones à proximité ; ils coûtent cher, leur usage est encadré, et ils visent des zones, pas une personne choisie au hasard. Le menu de test d’Android ou le mode test de terrain de l’iPhone affichent bien des informations sur l’antenne à laquelle vous êtes relié, mais les interpréter demande des mesures répétées et un œil de spécialiste. Pour un particulier, ce scénario reste théorique.

Reste le cas des écoutes officielles. En France, les interceptions judiciaires sont ordonnées par un magistrat et réalisées chez l’opérateur, via une plateforme nationale dédiée. Elles ne modifient aucun réglage visible sur la ligne. Là encore, *#21# répondra « aucun renvoi ». Un guide qui promet de détecter une écoute avec un code vend une illusion.

Lire le résultat de *#21# et *#62# sans paniquer

C’est ici que la plupart des inquiétudes naissent. On compose *#62#, un numéro de téléphone s’affiche, et l’on croit avoir trouvé l’espion. Dans l’immense majorité des cas, ce numéro est celui de la messagerie vocale de votre opérateur.

La raison est simple : quand vous êtes injoignable, occupé ou que vous ne répondez pas, votre appel doit bien aller quelque part. L’opérateur a donc configuré, dès l’ouverture de la ligne, un renvoi conditionnel vers votre boîte vocale. Les codes *#61#, *#62# et *#67# vous montrent ce renvoi. Il est normal, et il est même souhaitable.

Voici la marche à suivre pour trancher.

1. Composez *#21#. Le renvoi inconditionnel doit être désactivé. S’il est actif, aucun appel ne sonne sur votre téléphone : vous l’auriez sans doute déjà remarqué.
2. Composez *#62#, puis *#67# et *#61#. Notez le ou les numéros affichés.
3. Comparez avec le numéro de votre messagerie. Il figure dans votre espace client, dans l’application de l’opérateur ou dans l’aide en ligne de celui-ci. Le numéro long de la plateforme vocale diffère souvent du numéro court que vous composez pour écouter vos messages : c’est normal.
4. En cas de doute, appelez le service client et demandez à quoi correspond le numéro affiché. La réponse prend deux minutes.
5. Si le numéro vous est inconnu et ne correspond pas à la messagerie, composez ##002# pour annuler tous les renvois.

Un détail que presque aucun guide ne mentionne : ##002# efface aussi le renvoi vers votre messagerie. Après l’avoir utilisé, les appels manqués ne laisseront plus de message. Il faut réactiver la boîte vocale depuis l’application ou l’espace client de l’opérateur, ou en réglant le renvoi dans le téléphone.

Dernier cas : le code échoue et le téléphone affiche un message du type « problème de connexion ou code IHM non valide ». Cela arrive avec certains opérateurs quand les appels passent par la 4G ou le wifi. Ce message ne signifie rien d’inquiétant. Vérifiez alors les renvois dans les réglages : sur iPhone, Réglages, puis Téléphone, puis Renvoi d’appel ; sur Android, dans les paramètres de l’application Téléphone, à la rubrique Transfert d’appel ou Renvoi d’appel.

Les cinq façons réelles d’espionner un téléphone

Pour chercher au bon endroit, il faut savoir ce que l’on cherche. Espionner un téléphone recouvre cinq techniques très différentes, qui n’exigent ni les mêmes moyens ni le même accès.

Les trois premières lignes ont un point commun : elles supposent presque toujours un accès physique au téléphone ou la connaissance d’un mot de passe. C’est pourquoi l’espion est, dans la plupart des cas documentés par les associations d’aide aux victimes, un proche : conjoint, ex-conjoint, parent. La Coalition contre les stalkerwares, fondée en 2019 par des éditeurs de sécurité et des associations, a été créée précisément pour ce phénomène.

La dernière ligne relève d’un autre monde. Les logiciels du type Pegasus visent des journalistes, des avocats, des militants ou des responsables politiques, et coûtent des sommes sans rapport avec la surveillance d’un particulier. Si vous n’appartenez pas à ces profils, ce n’est pas votre scénario.

Vérifier les appareils connectés à vos comptes

C’est le contrôle le plus rentable, et celui qu’on oublie. Beaucoup d’« espionnages » passent par une session restée ouverte : WhatsApp Web lancé une fois sur l’ordinateur d’un proche, un compte Google ajouté sur une tablette familiale, un ancien téléphone encore connecté à votre identifiant Apple.

Chaque service tient la liste des appareils qui ont accès à votre compte. Elle se consulte en une minute.

La dernière ligne mérite qu’on s’y arrête. Une règle de transfert automatique, posée dans votre messagerie, envoie une copie de chaque courriel reçu vers une autre adresse. Elle reste invisible tant qu’on ne va pas la chercher, et elle survit à un changement de téléphone.

Si vous trouvez un appareil inconnu, déconnectez-le, puis changez le mot de passe du compte depuis un appareil de confiance. Activez ensuite la double authentification par application plutôt que par SMS, comme nous l’expliquons dans notre article sur la double authentification par application de codes. Sans ce second facteur, un nouveau mot de passe peut être retrouvé aussi vite que l’ancien. Un gestionnaire de mots de passe bien choisi évite de réutiliser un mot de passe qu’un proche connaît déjà.

Android : trois réglages qui trahissent une application espionne

Sur Android, un logiciel espion commercial s’installe en dehors du Play Store, avec le téléphone déverrouillé entre les mains. Pour fonctionner, il doit obtenir des autorisations puissantes. Ce sont elles qu’on vérifie, bien plus sûrement que l’autonomie de la batterie.

L’accès Accessibilité

Ce réglage permet à une application de lire tout ce qui s’affiche à l’écran et d’agir à votre place. Il est prévu pour les personnes en situation de handicap. C’est aussi l’autorisation préférée des logiciels espions, parce qu’elle donne accès aux messages de toutes les applications. Ouvrez Paramètres, puis Accessibilité, puis la rubrique des applications ou services installés. Seules des applications que vous connaissez devraient y figurer : lecteur d’écran, gestionnaire de mots de passe, outil d’automatisation que vous avez vous-même installé.

Les applications d’administration de l’appareil

Une application qui se déclare administrateur peut empêcher sa propre désinstallation ou verrouiller le téléphone. L’emplacement varie selon les marques : tapez « administration » dans la recherche des paramètres. On y trouve normalement Localiser mon appareil de Google, parfois l’application de gestion de votre employeur si votre téléphone est professionnel. Un nom générique du type « Service système » ou « Synchronisation » doit éveiller l’attention.

L’accès aux notifications

Une application autorisée à lire les notifications voit passer le début de chaque message reçu. Le réglage se trouve dans Paramètres, Applications, puis Accès spéciaux des applications. Là encore, chaque entrée doit correspondre à un usage que vous reconnaissez.

Complétez par une analyse Play Protect : dans le Play Store, touchez l’icône de votre profil, puis Play Protect, puis Analyser. Vérifiez aussi que l’installation d’applications de sources inconnues n’est accordée à aucune application qui n’en a pas besoin. Une application sans icône sur l’écran d’accueil mais présente dans la liste complète des applications est un indice à recouper.

iPhone : contrôle de sécurité, profils et identifiant Apple

L’iPhone ne permet pas d’installer une application espionne aussi facilement. La plupart des offres commerciales de surveillance pour iPhone ne s’installent d’ailleurs pas sur le téléphone : elles lisent la sauvegarde iCloud, à condition de connaître l’identifiant Apple et le mot de passe de la victime. Le point de contrôle numéro un est donc le compte, pas l’appareil.

Depuis iOS 16, Apple propose un outil prévu pour ce cas : le Contrôle de sécurité, dans Réglages, puis Confidentialité et sécurité. Il liste les personnes avec qui vous partagez votre position, vos photos ou vos notes, les applications qui ont accès à des données sensibles, et les appareils connectés à votre compte. Une option de réinitialisation d’urgence coupe tous les partages d’un coup.

Deux autres vérifications :

• Les profils de configuration. Réglages, Général, puis VPN et gestion de l’appareil. Sur un iPhone personnel, cette rubrique est souvent vide. Un profil que vous n’avez pas installé peut faire passer votre trafic par un serveur tiers : supprimez-le, sauf s’il vient de votre employeur.
• Le débridage. Un iPhone débridé (jailbreaké) accepte des logiciels qui contournent les protections d’Apple. La présence d’une application de type Cydia ou Sileo, que vous n’avez pas installée, est un signal fort. Une mise à jour d’iOS supprime généralement le débridage.

Pour les personnes réellement exposées aux logiciels espions mercenaires, Apple a créé le Mode Isolement, dans les mêmes réglages de confidentialité. Il limite fortement certaines fonctions pour réduire la surface d’attaque. Apple envoie par ailleurs une notification spécifique aux utilisateurs qu’elle pense ciblés par ce type d’attaque. Si vous en recevez une, une analyse approfondie s’impose, par exemple avec l’outil libre MVT d’Amnesty International ou par un spécialiste.

Batterie, chaleur, données : des signes à relativiser

Les guides en ligne alignent volontiers quinze ou seize signes d’espionnage. Batterie qui se vide, téléphone qui chauffe, utilisation des données mobiles en hausse, lenteurs, redémarrages. Le problème : ces signes ont tous une cause banale bien plus probable. Une batterie de trois ans perd de sa capacité. Une application de réseau social consomme en arrière-plan. Un téléphone chauffe dans une zone mal couverte, parce qu’il émet plus fort.

Surtout, un logiciel espion récent est conçu pour rester discret. Il envoie ses données par petits paquets, souvent en wifi, et ne vide pas la batterie de façon spectaculaire. Se fier à ces signes, c’est s’inquiéter à tort la plupart du temps et passer à côté d’un vrai espion le reste du temps.

Nous avons classé les signes selon ce qu’ils prouvent réellement, à partir du mécanisme de chacun.

La règle pratique : un seul signe fort justifie d’agir. Trois signes faibles réunis justifient seulement de faire les vérifications des sections précédentes.

Traceurs et partage de position : l’espionnage sans logiciel

Suivre les déplacements de quelqu’un ne demande pas toujours d’accéder à son téléphone. Deux voies existent, et aucune n’est visible par un code.

La première est le partage de position activé à votre insu, dans l’application Localiser sur iPhone ou dans Google Maps sur Android. Il suffit de quelques secondes avec le téléphone déverrouillé. Vérifiez la liste des personnes avec qui vous partagez votre position : dans Localiser, onglet Personnes ; dans Google Maps, touchez votre photo de profil, puis Partage de position.

La seconde est la balise, du type AirTag, glissée dans un sac, une poche de manteau ou une voiture. Les iPhone affichent une alerte quand un objet inconnu se déplace avec vous. Sur Android, les alertes de traceurs inconnus se règlent dans Paramètres, rubrique Sécurité et urgences, avec une recherche manuelle possible. Depuis 2024, les deux systèmes reconnaissent aussi les balises compatibles de l’autre camp. Une alerte isolée peut venir de l’objet d’un voisin de train. Une alerte qui revient sur plusieurs trajets doit être prise au sérieux.

La confidentialité de vos déplacements passe aussi par votre navigation : nous avons détaillé ailleurs ce que protège réellement la navigation privée sur iPhone, et ce qu’elle ne protège pas. Et sur un réseau public, l’utilité d’un VPN se discute selon l’usage.

Que faire si vous trouvez quelque chose

L’ordre des gestes compte, et il dépend d’une question : êtes-vous en danger ? Si l’espion est un conjoint violent ou un ex-conjoint menaçant, supprimer brutalement l’application peut l’alerter et aggraver la situation. Dans ce cas, le premier geste n’est pas technique.

• En danger immédiat, appelez le 17, ou envoyez un SMS au 114.
• Pour être conseillée, le 3919 (Violences Femmes Info) répond de façon anonyme et gratuite. Utilisez si possible un autre téléphone que celui que vous soupçonnez.
• Conservez des preuves avant de supprimer : captures d’écran de l’application suspecte, de la liste des appareils connectés, des alertes reçues.

Hors situation de danger, voici la séquence recommandée.

1. Depuis un appareil de confiance, changez les mots de passe de vos comptes principaux, messagerie en tête.
2. Déconnectez tous les appareils que vous ne reconnaissez pas, compte par compte.
3. Activez la double authentification partout où elle existe, ou passez aux clés d’accès sans mot de passe quand le service le propose.
4. Supprimez l’application ou le profil suspect, puis mettez à jour le système.
5. En dernier recours, réinitialisez le téléphone aux réglages d’usine, sans restaurer une sauvegarde complète qui pourrait contenir l’intrus. Préparez-vous en amont avec une sauvegarde de vos fichiers qui a été testée.

Si des données personnelles ont pu être copiées, les réflexes varient selon leur nature ; notre article sur les bons réflexes après une fuite de données les détaille. Le dispositif public d’assistance aux victimes propose une fiche pas à pas en cas de piratage de compte, avec les démarches de signalement.

Côté droit, espionner le téléphone d’autrui n’a rien d’une zone grise. L’article 226-1 du Code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de capter les paroles, l’image ou la localisation d’une personne sans son consentement. Les peines passent à deux ans et 60 000 euros quand l’auteur est le conjoint, le concubin ou le partenaire de pacs de la victime. D’autres textes s’ajoutent selon les cas, notamment pour l’accès frauduleux à un système informatique. Une plainte peut être déposée au commissariat ou à la gendarmerie.

Pour la suite, trois habitudes suffisent à fermer la plupart des portes : un code de déverrouillage que personne d’autre ne connaît, une revue mensuelle des appareils connectés à vos comptes, et aucune application installée en dehors des magasins officiels. À la maison, trois réglages de la box évitent qu’un appareil inconnu se glisse sur votre réseau. Si vous voulez aller plus loin sur la protection de vos comptes, notre dossier sur la protection de l’identité numérique fait le tour des bonnes pratiques, et vous pouvez vérifier si vos adresses figurent dans des fuites connues grâce à notre guide pour savoir si vos données ont été compromises.

Questions fréquentes

Composez *#21# pour écarter le renvoi d’appel, puis oubliez les codes. Consacrez plutôt un quart d’heure à la liste des appareils connectés de WhatsApp, de votre compte Google ou de votre identifiant Apple, et aux autorisations Accessibilité ou au Contrôle de sécurité selon votre téléphone. Si un signe fort apparaît, changez vos mots de passe depuis un appareil de confiance avant toute autre chose.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.