Note de la rédaction : Depuis la publication initiale de cet article, le gouvernement indien a retiré cette obligation à la suite de l’opposition du secteur.
L’Inde a ordonné à tous les grands fabricants de smartphones de préinstaller une application gouvernementale permanente et impossible à supprimer — Sanchar Saathi — sur chaque nouvel appareil vendu dans le pays.
La directive s’applique à Apple, Samsung, Xiaomi, Vivo, Oppo et à tous les autres fabricants qui vendent leurs produits sur l’immense marché indien des télécommunications.
Cette décision a immédiatement suscité des inquiétudes concernant les risques de surveillance, l’autonomie des utilisateurs et un niveau inédit de contrôle de l’État sur les appareils grand public.
Comme l’a rapporté Reuters (2025), l’avocate Mishi Choudhary a déclaré : « Le gouvernement supprime de fait le consentement de l’utilisateur en tant que véritable possibilité de choix. »
Principales fonctionnalités de l’application de sécurité obligatoire de l’Inde
Sanchar Saathi, initialement lancée sous la forme d’un portail web, a été transformée en une plateforme mobile de sécurité obligatoire, intégrée directement au système d’exploitation.
L’application regroupe plusieurs outils antifraude, notamment :
- Chakshu, un mécanisme de signalement des appels et messages suspects
- Blocage des téléphones perdus ou volés, associé au Central Equipment Identity Register
- Connaître ses connexions mobiles, permettant aux utilisateurs d’identifier les cartes SIM enregistrées sous leur identité
- Vérification de l’authenticité de l’appareil pour vérifier la validité du matériel et de l’IMEI
Le gouvernement met en avant les succès de la plateforme — affirmant qu’elle a contribué à retrouver plus de 700 000 téléphones perdus ou volés. Mais l’obligation de rendre l’application impossible à supprimer a immédiatement suscité une levée de boucliers.
Les fabricants d’appareils craignent qu’une installation forcée n’érode la confiance des utilisateurs et ne viole les principes établis de longue date des plateformes, en particulier pour des entreprises comme Apple, qui interdisent les applications tierces préinstallées disposant d’un accès système étendu.
Les organisations de défense de la vie privée estiment que cette obligation ouvre la voie à une surveillance intrusive, même si le gouvernement nie toute intention de surveiller les utilisateurs.
Impact sur la sécurité des applications système obligatoires
Contrairement aux applications mobiles classiques, Sanchar Saathi doit être intégré comme un composant système, ce qui lui confère un accès privilégié aux identifiants de l’appareil, aux interfaces réseau et aux processus de signalement des fraudes.
Même si rien de tout cela ne signale intrinsèquement une fonctionnalité malveillante, l’absence de choix — et l’obligation de rendre l’application impossible à supprimer — modifie profondément le modèle de sécurité de l’appareil.
Pour les équipes de sécurité, les préoccupations sont notamment les suivantes :
- Surface d’attaque élargie : les applications système dotées de permissions étendues peuvent introduire de nouveaux risques de sécurité si des vulnérabilités apparaissent.
- Flux de données obligatoires : le signalement des fraudes et les contrôles des appareils peuvent créer des journaux centralisés ou des flux de métadonnées auxquels les entreprises ne peuvent pas se soustraire.
- Incertitude réglementaire : les entreprises doivent se conformer rapidement à une obligation unilatérale, avec peu de directives techniques ou de transparence.
- Enjeux liés à la chaîne d’approvisionnement : l’obligation de préinstaller des logiciels affecte les chaînes de production, les mises à jour OTA et les processus de certification des appareils.
Bien qu’aucun élément ne prouve pour l’instant que l’application soit utilisée à des fins de surveillance, ses détracteurs avertissent que les applications intégrées au système peuvent ouvrir la voie à une extension progressive de leurs fonctionnalités ou à de futures directives imposant une collecte accrue de données.
Protéger les données contre les applications gouvernementales obligatoires
Les consommateurs ne pouvant pas supprimer Sanchar Saathi, les organisations peuvent prendre des mesures pour limiter les risques et rester en conformité :
- Mettre à jour les politiques BYOD et de gestion des flottes mobiles afin de veiller à ce que les solutions MDM prennent en compte l’application obligatoire et ses interactions avec les configurations d’entreprise.
- Surveiller les appareils mobiles pour détecter tout comportement système inattendu en inspectant le trafic réseau, l’activité VPN et les schémas de communication anormaux.
- Renforcer les contrôles de confidentialité mobile en chiffrant les données d’entreprise, en imposant la conteneurisation et en isolant les données professionnelles des applications intégrées au système.
- Limiter l’accès mobile aux systèmes internes sensibles en appliquant la segmentation et les principes de zero trust à l’authentification et à l’autorisation des appareils.
- Utiliser des outils de défense contre les menaces mobiles pour détecter les permissions à risque, les comportements inhabituels des applications ou les flux de données potentiellement dangereux provenant des applications système préinstallées.
- Réduire au minimum les données d’entreprise stockées sur les appareils mobiles en imposant des modèles d’accès privilégiant le cloud et en réduisant la dépendance au stockage local.
- Préparer une communication claire à destination des employés et examiner les obligations juridiques, réglementaires et de traitement des données afin de garantir la conformité aux exigences régionales telles que le RGPD et la loi DPDP.
Ensemble, ces mesures aident les organisations à rester sécurisées et conformes malgré les difficultés posées par les applications système obligatoires.
Les implications mondiales de l’obligation indienne concernant l’application
L’obligation imposée par l’Inde reflète une évolution mondiale plus large dans la manière dont les gouvernements envisagent la sécurité mobile : les smartphones sont de plus en plus considérés comme des instruments de première ligne dans la lutte contre la fraude, la cybercriminalité et la désinformation.
Pourtant, à mesure que les fonctions de sécurité s’enfoncent dans le système d’exploitation, la frontière entre protection légitime et éventuel excès de pouvoir gouvernemental devient plus difficile à distinguer.
L’obligation d’installer des applications gouvernementales impossibles à supprimer — en particulier celles disposant d’un accès système — crée un précédent puissant, susceptible d’influencer les autorités de régulation non seulement en Inde, mais aussi dans d’autres pays.
L’évolution de ce paysage montre pourquoi les principes du zero trust deviennent essentiels pour gérer la sécurité et les accès aux appareils.