Google déploie l’Android Intrusion Logging le 12 mai 2026, une première mondiale dans la sécurité mobile. Cette fonctionnalité permet aux chercheurs de détecter les attaques de spyware sur Android. Développée en collaboration avec Amnesty International et Reporters sans frontières, elle vise en priorité les profils les plus exposés : journalistes, militants et défenseurs des droits humains.
Android, longtemps un angle mort pour la forensique mobile
Depuis des années, analyser un smartphone Android potentiellement compromis représentait un défi considérable pour les enquêteurs en sécurité numérique. Les journaux système disponibles sur le système n’étaient pas conçus pour la détection d’intrusion : stockés dans des mémoires tampons de taille fixe, ils étaient rapidement écrasés au fil de l’utilisation normale du téléphone. Quand une organisation comme le Security Lab d’Amnesty International recevait le signalement d’un journaliste suspectant un espionnage survenu des semaines ou des mois plus tôt, les preuves potentielles avaient souvent disparu.
Cette limite structurelle n’avait pas échappé aux acteurs de la surveillance. Dans le billet qu’il publie le 12 mai 2026, le Security Lab d’Amnesty International note que les opérateurs de spyware sont « de plus en plus conscients de ces efforts forensiques » et prennent davantage soin de dissimuler leurs actions sur un appareil ciblé. (Surveillance actors are also increasingly aware of these forensic efforts, and are more diligent in their efforts to hide their actions on a targeted device.) S’appuyer sur des journaux accidentels, non conçus pour cet usage, apparaissait insuffisant pour documenter les abus sur le long terme.
Comment l’Android Intrusion Logging enregistre les attaques
L’Intrusion Logging s’intègre au mode Advanced Protection d’Android, un ensemble de protections renforcées que Google avait présenté en mai 2025 à l’attention des utilisateurs les plus exposés. La fonctionnalité crée une nouvelle catégorie de journaux, chiffrés de bout en bout avant d’être archivés dans le compte Google de l’utilisateur. Google lui-même ne peut pas accéder à ces données. Les logs sont collectés une fois par jour et conservés automatiquement pendant douze mois.
Les événements enregistrés couvrent plusieurs catégories essentielles pour une investigation forensique. Le système consigne les déverrouillages de l’écran, les installations et désinstallations d’applications, les connexions à des sites web et serveurs, toute connexion via l’Android Debug Bridge (un outil qui permet à un ordinateur ou un appareil forensique de se connecter au téléphone), et toute tentative de suppression de ces journaux. Ce dernier point est particulièrement révélateur : effacer des traces est lui-même une trace que la fonctionnalité capture.
Pour mesurer la valeur concrète de ces données, prenons un cas documenté en Serbie en 2024. Des autorités avaient utilisé un outil forensique de Cellebrite pour déverrouiller de force un téléphone, puis avaient installé un spyware pour continuer à surveiller leur cible. Avec l’Intrusion Logging activé, chaque étape de cette séquence, le déverrouillage, la connexion via le Debug Bridge, l’installation de l’application malveillante et son éventuelle suppression, aurait laissé une trace persistante et chiffrée, accessible uniquement à la victime et à l’analyste qu’elle mandate.
Conçu avec la société civile, pour la société civile
Amnesty International a joué le rôle de partenaire de conception tout au long du développement de cette fonctionnalité, partageant avec Google les schémas d’exploitation observés sur le terrain ainsi que les exigences concrètes de ses méthodes d’analyse forensique. Dans son billet officiel publié le 12 mai 2026, Eugene Liderman, directeur de l’équipe Android Security & Privacy, confirme que l’Intrusion Logging a été développé « en partenariat avec Amnesty International et Reporters sans frontières, entre autres. »
« Nous sommes très enthousiastes face au déploiement de l’Android Intrusion Logging. Cette fonctionnalité promet de rééquilibrer la situation en faveur des défenseurs, en fournissant aux enquêteurs de la société civile les preuves essentielles pour détecter et exposer certaines des attaques les plus sophistiquées qui ciblent journalistes et militants », a déclaré Donncha Ó Cearbhaill, responsable du Security Lab d’Amnesty International, dans le billet publié par Amnesty International le 12 mai 2026. (We are very excited to see the roll-out of Android Intrusion Logging. It promises to help shift the balance to the advantage of defenders, providing civil society investigators with the key evidence needed to detect and expose some of the most advanced attacks facing journalists and activists.)
Pour rendre cette fonctionnalité immédiatement utilisable, Amnesty publie en parallèle des mises à jour de deux outils open source : AndroidQF, pour la collecte des données sur l’appareil, et le Mobile Verification Toolkit (MVT), qui intègre un nouveau module appelé « check-advanced-logs » permettant d’analyser les journaux d’intrusion et de les confronter à des bases d’indicateurs de compromission connus.
Un déploiement encore limité aux Pixel sous Android 16
Le déploiement qui commence ce 12 mai 2026 est soumis à plusieurs conditions. Eugene Liderman précise dans le billet officiel Google que l’Intrusion Logging concerne « tous les appareils fonctionnant avec la mise à jour Android 16 de décembre ou une version plus récente. » Dans les faits, cela restreint la fonctionnalité aux smartphones Pixel pour l’instant, l’appareil devant par ailleurs être associé à un compte Google.
Deux points méritent l’attention des utilisateurs potentiels. D’abord, la fonctionnalité est optionnelle et doit être activée avant qu’une menace ne se matérialise : les journaux ne peuvent pas être générés rétroactivement. Ensuite, les logs incluent l’historique de navigation, une donnée sensible que certains utilisateurs pourraient hésiter à transmettre, même à un analyste de confiance. L’extension à d’autres fabricants Android est présentée par Amnesty International comme une prochaine étape naturelle, sans calendrier précis à ce stade.
Prévention et documentation : deux stratégies qui se complètent
La comparaison avec Apple s’impose. Le Lockdown Mode d’iOS, lancé en 2022 pour les mêmes profils à risque, mise avant tout sur la prévention : Apple indiquait en mars 2026 n’avoir jamais détecté d’attaque réussie contre un utilisateur l’ayant activé. En 2023, le laboratoire Citizen Lab avait confirmé que ce mode avait bloqué une tentative d’infection via Pegasus, le spyware commercial du groupe NSO.
L’Intrusion Logging ne cherche pas à bloquer les attaques en temps réel. Il s’inscrit dans une logique de documentation post-incident, complémentaire aux protections préventives déjà intégrées dans Advanced Protection : blocage USB, désactivation des connexions 2G vulnérables, interdiction du sideloading d’applications. Google associe ainsi un durcissement préventif et une capacité d’investigation forensique que les chercheurs n’avaient pas jusqu’ici sur Android.
L’enjeu dépasse largement la seule sécurité des appareils. Des spywares commerciaux comme Pegasus, Predator ou Graphite ont été documentés dans des dizaines de cas d’espionnage visant des journalistes, des avocats et des militants en Angola, en Italie, au Pakistan ou en Serbie. Les organisations de la société civile ont travaillé pendant des années avec des données forensiques insuffisantes pour établir des preuves solides d’abus. L’Android Intrusion Logging représente une rupture dans cette équation.
Pour les utilisateurs Android qui s’estiment potentiellement ciblés, l’activation passe par Réglages, puis Sécurité et confidentialité, puis Protection avancée. L’Intrusion Logging se trouve en bas de ce même menu. Le guide complet publié par Amnesty International le 12 mai 2026 détaille, étape par étape, comment exporter les journaux vers un analyste forensique en cas d’incident suspect. Si vous attendez d’être pris pour cible pour activer cette protection, il sera trop tard.
No Comment! Be the first one.