Les applications russes traquent votre VPN, et l'Etat veut ces donnees

Si vous vivez en Russie et que vous ouvrez une application bancaire ou une place de marché, le logiciel installé sur votre téléphone vérifie très probablement si un VPN est actif, et une bonne partie de ces applications renvoie le résultat vers ses propres serveurs. Ce n'est pas une rumeur de forum sur la vie privée: cela ressort de l'analyse des trente applications Android russes les plus installées. Et cela compte cette semaine, car Roskomnadzor vient de mettre hors ligne plus de vingt services VPN d'un seul coup.

Ce qu'a révélé l'analyse de trente applications

RKS Global, le groupe de défense des droits numériques fondé par l'avocat spécialisé Sarkis Darbinian, a décompilé les fichiers APK de trente applications Android russes très populaires et les a passées au crible de 80 points de contrôle répartis en 12 catégories. Lors de la première série, publiée le 10 avril 2026, 22 des 30 applications savaient qu'un VPN était activé, et 19 d'entre elles transmettaient ce signal à leurs propres serveurs. Lors de la contre-vérification fin avril, les trente détectaient un VPN.

La liste ne contient pas des utilitaires obscurs, mais les logiciels que les gens ouvrent plusieurs fois par jour.

• Banques: Sberbank Online, T-Bank, VTB et Alfa-Bank intègrent toutes une détection de VPN.
• Places de marché et livraison: Ozon, Megamarket et Samokat.
• Écosystèmes: Yandex Browser et Yandex Maps, ainsi que les services de VK dont Odnoklassniki.
• L'accès le plus profond: sept applications ne s'arrêtent pas à un oui ou non. Wildberries, Ozon, Megamarket, 2GIS, MTS, RuStore et Odnoklassniki récupèrent la liste complète des clients VPN installés sur l'appareil.

C'est ce dernier groupe qui pose vraiment problème. Savoir qu'un tunnel est ouvert est une chose. Savoir quels outils précis une personne garde installés, y compris ceux qu'elle n'utilise pas à cet instant, relève de l'inventaire de comportement et non du contrôle de sécurité.

L'État a demandé aux plateformes de faire remonter leurs trouvailles

Le 30 mars 2026, le ministre du Développement numérique, Maksout Chadaïev, a tenu une réunion à huis clos avec les représentants de plus de vingt grandes entreprises d'internet. Selon RBC, dont l'information a été largement reprise par les médias russes, il leur a été demandé de restreindre l'accès aux utilisateurs ayant un VPN actif avant le 15 avril. Les plateformes devaient recevoir de Roskomnadzor les listes d'adresses IP de VPN déjà identifiées, ainsi que des recommandations pour repérer et bloquer ces services par elles-mêmes.

La clause qui transforme une fonction de détection en machine de coercition, c'est le retour d'information: les données collectées sur de nouveaux VPN doivent remonter aux autorités de contrôle afin d'élargir la liste commune de blocage. Les leviers évoqués étaient commerciaux et non pénaux: exclusion des listes blanches officielles, perte des avantages fiscaux du secteur IT, retrait de l'accréditation IT et suppression de la liste des logiciels à préinstallation obligatoire.

Août: la même logique appliquée à l'hébergement

Le 3 août 2026, RBC a décrit l'étape suivante, visant cette fois l'infrastructure. Les hébergeurs devraient surveiller les adresses IP figurant sur la liste des exceptions tenue par le centre de surveillance de Roskomnadzor. Si une infrastructure VPN est repérée à plusieurs reprises sur une adresse pendant une semaine, l'hébergeur reçoit une demande et dispose d'une journée pour répondre. Un client vérifié seulement par numéro de téléphone ou carte bancaire peut être coupé en trente minutes, tandis qu'un client vérifié via Gosouslougui ou par contrat serait d'abord invité à retirer l'infrastructure. Les hébergeurs jugés peu coopératifs risquent la restriction de sous-réseaux entiers.

Un jour plus tard, le 4 août, plus de vingt services VPN sont tombés ensemble, des sous-réseaux entiers d'hébergeurs ayant été coupés. Nous avons traité ce basculement dans notre article sur le passage du blocage des applications VPN au blocage de leur hébergement.

Ce qui est documenté et ce qui relève de la déduction

Cette histoire se raconte facilement en plus fort qu'elle ne l'est. D'où la séparation.

1. Documenté: le code de détection est bien dans les applications, une partie collecte l'inventaire des clients VPN installés, et une partie des données part vers les serveurs des entreprises. L'étude est publique et reproductible à partir des mêmes APK.
2. Documenté: les autorités ont formellement demandé aux plateformes de renvoyer leurs constats aux régulateurs pour étoffer la liste de blocage. Cela repose sur les sources de RBC et non sur un texte publié: aucun document officiel n'a été rendu public.
3. Déduction: l'idée que la liste précise utilisée le 4 août aurait été bâtie à partir des données des applications bancaires et des places de marché. Darbinian relie le déploiement de ces modules au printemps à l'escalade de l'été, et l'enchaînement paraît cohérent, mais aucune preuve reliant cette liste-là à cette télémétrie-là n'a été publiée.

Ce qui change pour les utilisateurs de VPN

Le changement pratique, c'est que le contournement n'est plus seulement une course entre protocoles et filtres. Un second canal passe désormais par des logiciels que l'utilisateur a installés volontairement et auxquels il peut difficilement renoncer, puisque l'alternative est de perdre l'accès à son compte bancaire ou à sa commande de courses. Désinstaller l'application d'une place de marché est une option réelle pour certains et pas du tout pour d'autres.

Cela change aussi ce qu'il faut regarder chez un fournisseur. Résister au filtrage réseau ne règle que la moitié du problème quand l'autre moitié est un inventaire dressé sur le téléphone lui-même. Une infrastructure qui ne dépend pas d'une seule adresse joignable, et la capacité de changer rapidement de points d'entrée, comptent donc davantage qu'un classement de vitesse.