Le procureur général de l’Arizona a déposé une plainte majeure contre Temu, accusant l’application d’achat populaire de collecter secrètement des données sensibles sur les appareils, de tromper les consommateurs et de contrefaire des marques emblématiques de l’État.
La plainte dépeint une application qui, selon les allégations, se comporte moins comme un commerçant que comme un logiciel espion clandestin.
« Nous alléguons que Temu a violé à plusieurs reprises et délibérément la loi de l’Arizona sur la fraude à la consommation et a exposé la vie privée des habitants de l’Arizona, y compris des mineurs, à un risque extrême », a déclaré la procureure générale Kris Mayes dans son communiqué.
Elle a ajouté : « Les habitants de l’Arizona doivent savoir que derrière les petits prix et la publicité tape-à-l’œil de Temu se cache un véritable danger. »
Comment l’application de Temu pourrait collecter bien plus que des achats
Temu est rapidement devenue l’une des applications d’achat les plus téléchargées aux États-Unis, portée par un marketing agressif et des prix défiant toute concurrence.
Des dizaines de millions d’achats transitent chaque année par la plateforme, notamment des commandes expédiées et livrées en Arizona.
Mais la plainte allègue que l’application mobile de Temu va bien au-delà du suivi des achats des utilisateurs : elle s’infiltre dans leurs appareils pour collecter des données extrêmement sensibles et dissimule son activité à l’aide de techniques plus généralement associées aux logiciels malveillants.
L’affaire souligne le risque posé par les applications grand public aux pratiques de collecte de données opaques — en particulier lorsqu’elles relèvent de juridictions dotées de vastes lois sur l’accès aux données.
Les allégations présentent Temu comme un logiciel espion mobile
Selon la plainte, l’application mobile de Temu est conçue pour recueillir bien plus d’informations qu’une application de vente au détail classique.
Une fois installée, l’application obtiendrait un accès non autorisé aux éléments suivants :
- Géolocalisation précise
- Fonctions du microphone et de la caméra
- Activité au sein d’autres applications installées
- Informations sensibles et permettant d’identifier une personne (PII)
Un examen du code de Temu révélerait plusieurs couches de chiffrement destinées à échapper à l’inspection, ainsi que la capacité de l’application à modifier son propre code après son installation — un comportement qui rappelle les tactiques utilisées par les logiciels espions mobiles.
Ces fonctionnalités pourraient permettre à Temu d’exfiltrer les données des utilisateurs ou de manipuler un appareil de manière non divulguée et indétectable.
Ces préoccupations sont aggravées par le fait que Temu est entièrement détenue par une entreprise chinoise et relève donc des lois chinoises sur la sécurité nationale, qui imposent de coopérer avec les services de renseignement de l’État.
La plainte allègue également un ensemble de pratiques commerciales trompeuses et frauduleuses, notamment :
- Expédition de produits qui ne correspondent pas aux images publicitaires
- Falsification d’avis clients
- Achats non autorisés effectués à l’aide de données de paiement enregistrées
- Contrefaçon de marques appartenant aux Arizona Cardinals, à Fender Guitars et à plusieurs universités publiques de l’État
- Facturation de produits non livrés ou indésirables
- Systèmes de parrainage promettant des récompenses qui ne se concrétisent jamais
- Recours au travail forcé au sein de sa chaîne d’approvisionnement
Conseils essentiels de sécurité mobile pour les utilisateurs et les organisations
Alors que les applications grand public sont de plus en plus accusées de collecter agressivement des données, les particuliers comme les organisations doivent renforcer leurs pratiques de sécurité mobile.
Ce que peuvent faire les particuliers
- Examiner et limiter au minimum les autorisations accordées aux applications, notamment l’accès à la caméra, au microphone et à la localisation.
- Supprimer les applications qui demandent des privilèges inutiles ou intrusifs sur l’appareil.
- Surveiller régulièrement ses comptes financiers pour repérer les transactions non autorisées.
- Éviter de relier ses comptes sociaux ou de messagerie aux applications à haut risque et utiliser si possible des paiements par carte virtuelle.
- Maintenir les appareils à jour et désactiver l’activité en arrière-plan des applications qui n’en ont pas besoin.
Ce que peuvent faire les organisations
- Imposer des politiques MDM, autoriser les applications par liste blanche et bloquer l’installation d’applications grand public à haut risque sur les appareils professionnels.
- Déployer des outils de défense contre les menaces mobiles afin de détecter les comportements malveillants et les connexions sortantes à risque.
- Utiliser des contrôles réseau pour bloquer les domaines suspects, les services étrangers ou les flux de données non autorisés.
- Sensibiliser les employés aux risques liés à l’utilisation d’applications d’achat personnelles sur des appareils professionnels ou BYOD.
- Intégrer l’examen de la confidentialité et du traitement des données des applications mobiles dans les évaluations des fournisseurs et dans la gouvernance globale de la sécurité.
En prenant ces mesures, les particuliers et les organisations peuvent réduire sensiblement leur exposition aux applications qui collectent des données et aux menaces mobiles dissimulées.
Comment les plateformes mobiles accentuent les risques pour la vie privée
La plainte contre Temu met en lumière une tension croissante entre les lois de protection des consommateurs au niveau des États et les plateformes mobiles à l’influence mondiale, dont les pratiques en matière de données restent opaques.
À mesure que les achats, les communications et les fonctionnalités des appareils fusionnent au sein d’un même écosystème mobile, les risques pour la vie privée augmentent — en particulier lorsque les applications opèrent sous le régime de mandats de surveillance étatiques.
L’affaire montre à quelle vitesse les applications grand public peuvent devenir des menaces pour les entreprises.
Cette évolution rend les principes du zero trust plus indispensables que jamais pour réduire l’exposition des utilisateurs, des appareils et des applications.