Qu’ont découvert les chercheurs en cybersécurité sur les applications de contrôle parental?
À Black Hat et DEF CON 2026, des chercheurs ont découvert que 39 marques d’applications de contrôle parental et de traqueurs GPS pour enfants, présentées comme indépendantes, stockent toutes leurs données sur un seul serveur en Chine, avec 45 vulnérabilités distinctes et aucun véritable contrôle d’accès. N’importe quel utilisateur de l’application peut accéder à la localisation, à l’audio en direct, à la caméra et à l’activité de navigation d’un autre enfant. Les outils censés protéger les enfants les exposent.
39 applications pour parents. Un seul serveur. Et une porte grande ouverte pour quiconque veut les données de ton enfant.
Tu télécharges une application de sécurité parentale ou tu achètes un appareil GPS pour des raisons simples: savoir que ton enfant est bien arrivé à l’école. Pouvoir le joindre en cas de problème. T’inquiéter un peu moins. C’est un bon réflexe de parent. Pourtant, de nouvelles recherches ont braqué le projecteur sur l’industrie du contrôle parental, estimée à bien plus d’un milliard de dollars en 2026,[3] et montré que certains de ces outils font exactement l’inverse de ce que les parents espéraient.
Cette année, à Black Hat et DEF CON,[4] deux des conférences de cybersécurité les plus importantes et les plus réputées au monde, une enquête[1] de Vangelis Stykas et Felipe Solferini, chercheurs chez Kumio, a révélé que 39 marques d’applications de contrôle parental et de traqueurs GPS pour enfants[2], présentées comme indépendantes, stockent toutes leurs données sur un seul et même serveur en Chine. Leur analyse a mis au jour 45 vulnérabilités distinctes et aucun véritable contrôle d’accès. Concrètement, cela veut dire que n’importe qui, en installant l’application ou l’appareil GPS, pourrait accéder à un appareil connecté et consulter les données de tous les autres. Quelles données, au juste? La localisation (actuelle et passée), l’audio en direct, la caméra, le contenu de l’écran, les applications et l’activité de navigation, ainsi que des données personnelles nominatives. Des données qui appartiennent à des enfants.
Pour le prouver, l’équipe a déclenché un appel depuis une montre connectée pour enfant à 30 dollars et diffusé l’audio en direct, sans que rien sur la montre ne signale l’appel en cours (note au lecteur: les chercheurs n’ont travaillé que sur des appareils qu’ils contrôlaient). Un rapport ultérieur[2] a évalué l’ampleur du phénomène à des dizaines de millions d’appareils, répartis sur une poignée de plateformes partagées.
Pour un parent dont l’enfant utilise une de ces 39 marques, c’est dur à encaisser.
Comment Allowed Online protège-t-il contre ces risques?
Chaque donnée collectée par un outil de sécurité est une donnée qui peut fuiter. Allowed Online refuse ce compromis. Il bloque les contenus nuisibles au niveau du réseau, avant qu’ils n’atteignent l’appareil d’un enfant, sans lire les messages ni suivre les déplacements. La donnée la plus sûre est celle que nous ne collectons jamais. Made in Switzerland et Privacy-First dès la conception.
La plupart des outils promettent la sécurité en collectant des quantités massives de données. Mais qu’est-ce que ça veut dire, concrètement? Chaque message. Chaque localisation. Chaque geste sur l’écran. Et il faut le savoir: chaque donnée collectée est aussi une donnée qui peut fuiter, volontairement ou non. On ne parle pas d’un mot de passe ou d’une adresse e-mail. On parle de la position d’un enfant et d’un micro ouvert. Entre de mauvaises mains, l’appareil censé protéger devient le danger. Forts de nos années d’expérience en cybersécurité, nous avons choisi l’autre voie et créé quelque chose qui redéfinit la catégorie: Protéger sans surveiller.
Un constat comme celui-ci, c’est exactement ce que nous redoutions. PCMag le résume parfaitement:
«La frontière entre la surveillance parentale et le stalkerware dépend entièrement de qui a accès aux données d’un enfant.»
Justyn Newman, Senior Writer, Security at PCMag
Parlons donc de la façon dont nous avons pensé Allowed Online, précisément pour éviter ça.
C’est le compromis que nous avons délibérément refusé. Nous avons conçu Allowed Online pour bloquer les contenus nuisibles au niveau du réseau, avant qu’ils n’atteignent l’appareil d’un enfant. Nous ne lisons pas les messages des enfants. Nous ne suivons pas leurs déplacements. La donnée la plus sûre est celle que nous ne collectons jamais. Made in Switzerland et Privacy-First dès la conception.
Ce qui nous marque dans les résultats présentés à Black Hat, ce n’est pas le nombre de failles. Ce sont ces 39 applications, en apparence différentes, qui toutes rendent un enfant moins en sécurité. Trente-neuf marques distinctes, vendues comme des concurrentes, qui tournent sur un seul système. Le parent qui compare quatre montres en magasin compare peut-être quatre étiquettes posées sur le même serveur.
«Si tu as un de ces appareils pour ton enfant, brûle-le. Casse-le. Je m’en fiche. Il est compromis.»
Vangelis Stykas, CTO, Kumio
Comment vérifier si l’application de contrôle parental de ton enfant est compromise?
Sur Android, vérifie le nom de l’application compagnon. Si elle s’appelle SeTracker ou si son nom de package est com.tgelec, l’appareil repose sur une des trois plateformes compromises examinées par les chercheurs. Changer le mot de passe n’y fera rien, car la faille se trouve sur le serveur du fabricant. Regarde si le fabricant a publié un correctif.
Si tu as déjà une de ces applications ou un de ces appareils à la maison, ne te contente pas de changer le mot de passe. Un mot de passe ne corrige pas une faille sur le serveur de quelqu’un d’autre. Cherche plutôt quel service tourne derrière. Nous ne pouvons pas lister toutes les marques concernées, mais il y a une vérification rapide sur Android: si l’application compagnon s’appelle SeTracker ou si son nom de package est com.tgelec, l’appareil repose sur une des trois plateformes examinées par les chercheurs. Ce n’est pas un test complet. Il ne confirme qu’une de ces trois plateformes, et un appareil qui n’affiche aucun de ces signes peut très bien tourner sur une autre. Dans tous les cas, regarde si le fabricant a publié un correctif. Les chercheurs disent avoir alerté les fabricants plus de 30 fois sans jamais recevoir de réponse, alors ne compte pas sur un correctif qui arriverait tout seul.
Pose-toi ensuite la question la plus difficile: à quoi sert vraiment cet appareil? La réponse évidente, c’est la sécurité de ta famille. Mais nous sommes convaincus qu’aucun outil ne peut élever un enfant à lui seul. Le nôtre non plus. Notre rôle, c’est de tenir le cadre, discrètement, pour que les conversations qui protègent les enfants puissent avoir lieu à la maison, là où elles ont leur place, selon nous.
Envie de savoir où en est ta famille? Notre quiz gratuit de 2 minutes sur le temps d’écran est un bon point de départ.
Reçois le prochain guide fondé sur la recherche dans ta boîte de réception.
Sources
[1] Newman, J. (edited by Henry, A.). (7 August 2026). 39 Popular Parental Control Apps Are Secretly Feeding Data to One Server. PCMag.
[2] (14 August 2026). Your child’s GPS watch tells everyone where they are. Notebookcheck.
[3] Parental Control Software Market Size. Fortune Business Insights (2026 estimate).
[4] DEF CON 34 Speakers. Research by Kumio researchers Vangelis Stykas (CTO) and Felipe Solferini, presented at Black Hat and DEF CON 34, Las Vegas, August 2026. The “tens of millions” reach is the researchers’ estimate.
