Illustration. Écrans génériques, aucune vraie banque.
- ›
appareil en lignela fausse application contacte son serveur
2e édition
L'état de la
Sécurité des applications bancaires mobiles 2025
Nous avons analysé plus de 500 des principales applications bancaires sur Android et iOS. Voici ce que nous avons trouvé.
Le rapport en 30 secondes
- 01plus de 50 %des applications bancaires contiennent des secrets en dur
- 0247,7 %des applications bancaires iOS sont sorties avant 2014
- 03plus de 77 %des backends d'applications bancaires sont aux États-Unis
- 04plus de 72 %des applications bancaires contiennent du code natif C/C++
- 0565 %des appareils infectés se trouvaient en Italie
Résultats
La plupart des applications bancaires livrent encore les clés de leur backend
Résultat le plus fréquent
des applications bancaires contiennent des secrets en dur
Clés d'API, jetons et identifiants se trouvent dans le code ou les fichiers de ressources. Quiconque télécharge l'application peut les extraire.
Source : analyse Ostorlab de plus de 500 grandes applications bancaires, 2025
Nous avons testé plus de 500 des principales applications bancaires dans le monde, sur Android et iOS, avec une analyse statique, dynamique et comportementale.
Près d’1 sur 2 applications embarquent une bibliothèque avec une faille critique connue
plus de 46 % des applications testées
Près de 3 sur 10 applications permettent de contourner la connexion biométrique
plus de 28 % des applications testées
FIG. 1.1
Part des applications bancaires touchées, par vulnérabilité
La détection du root a été trouvée dans plus de 40 % des applications. Une cryptographie faible (mode ECB, MD5, IV statiques) est apparue dans un petit nombre d'applications.
Source : analyse Ostorlab de plus de 500 grandes applications bancaires, 2025
Critique
Jusqu'à 19
vulnérabilités critiques trouvées dans une seule application bancaire
La plupart des applications en ont 0 à 2. Un petit groupe en a 10 ou plus. Dans une application bancaire, une seule est déjà grave.
Ces vulnérabilités n'ont rien de théorique. Ce sont des risques réels qui touchent des millions d'utilisateurs sur les deux plateformes.
Âge des applications
Les applications bancaires sont plus anciennes qu'elles n'en ont l'air
Presque toutes les applications ont publié une mise à jour au cours des six derniers mois. Beaucoup ont pourtant été lancées il y a plus de dix ans, sur un code qui n'a pas été écrit pour les attaques d'aujourd'hui.
47,7 %
des applications bancaires iOS sont sorties avant 2014
Un code ancien demande un travail constant pour rester sûr. Des versions fréquentes ne prouvent pas que ce travail est fait.
FIG. 2.1
Applications bancaires par date de première publication
- 2008–11
- 2011–14
- 2014–16
- 2016–19
- 2019–22
- 2022–25
Source : analyse Ostorlab de plus de 500 grandes applications bancaires, 2025
94,7 %
des applications iOS ont publié une version au cours des six derniers mois
88,8 %
des applications Android ont fait de même
Des mises à jour fréquentes ne sont pas forcément des mises à jour sûres. Beaucoup ajoutent des fonctionnalités ou modifient l'interface, et seulement 1 % des applications avaient une dernière version de plus d'un an.
Backends
Presque toutes les applications bancaires parlent à des serveurs aux États-Unis
La plupart de ces banques ne sont pas américaines. Une fuite ou une panne chez un grand fournisseur américain pourrait toucher de nombreuses banques à la fois, et les données clients relèvent du droit américain.
FIG. 3.1
Où sont hébergés les backends des applications bancaires, par rang
>77 % des backends
Top 10 par nombre de backends
- 1États-Unis
- 2Canada
- 3Corée du Sud
- 4Irlande
- 5Allemagne
- 6France
- 7Singapour
- 8Pays-Bas
- 9Australie
- 10R.A.S. chinoise de Hong Kong
Le rapport classe 49 pays par nombre de backends. Il ne donne une part que pour les États-Unis.
Source : analyse Ostorlab de plus de 500 grandes applications bancaires, 2025
Les applications iOS dépendent de très peu de serveurs : 78 % en contactent 2 ou moins. Les applications Android en contactent bien plus, et chacun est un point à sécuriser.
Technologies
Les mêmes briques, dans des centaines d'applications bancaires
Les scans ont identifié les langages, le code natif et les bibliothèques de chaque application. Une faille dans une bibliothèque populaire, c'est une faille dans des centaines de banques.
zlib
Compression des données
~55 %
Sur 10 applications bancaires
OpenSSL
Chiffrement réseau
>51 %
Sur 10 applications bancaires
SQLite
Stockage local des données
>35 %
Sur 10 applications bancaires
Firebase
Services backend
34 %
Sur 10 applications bancaires
Pas une hypothèse : les analyses ont trouvé zlib 1.2.8, une version aux vulnérabilités connues, dans des applications bancaires.
Aussi à l’intérieurC/C++ >72 %Kotlin (Android) >61 %Objective-C (iOS) >65 %
FonctionnalitésConnexion biométrique >65 %Analytics >45 %Suivi des utilisateurs 1 %
Permissions
Certaines applications demandent des accès dont aucune banque n'a besoin
Chaque permission est une porte d'entrée. La plupart des demandes correspondent à l'usage d'une application bancaire. Certaines sont difficiles à expliquer.
Attendu
Ce dont une application bancaire a vraisemblablement besoin. Quand le rapport donne une part, la barre l’indique.
- Appareil photo ~95%
- Face ID 80%
- Empreinte et biométrie ~80%
- Accès réseau Presque toutes
- Notifications Courant
- Position précise Très utilisé
Difficile à justifier
Une petite part des applications demande des accès sans usage bancaire évident. Une application bancaire ne devrait demander que le strict nécessaire.
Enregistrer l’audio depuis un service en arrière-plan
FOREGROUND_SERVICE_MICROPHONEUne application bancaire en a-t-elle besoin ?
Près de 40 % des applications bancaires Android font aussi tourner 11 à 20 services en arrière-plan, et 16 % en font tourner 21 à 30. Plus de services, c'est plus de points d'entrée à protéger.
Étude de cas
ToxicPanda montre comment un cheval de Troie bancaire vide un compte
ToxicPanda est un cheval de Troie bancaire Android identifié par Cleafy fin 2024. Il prend le contrôle des comptes et transfère l'argent depuis le téléphone même de la victime, ce qui lui permet de passer de nombreux contrôles antifraude.
Comment fonctionne l'attaque
65 %
des appareils infectés se trouvaient en Italie
Le Portugal suit avec 21,4 %. Ses premières cibles repérées étaient en Europe et en Amérique latine.
FIG. 6.1
Où se trouvaient les appareils infectés
- Italie
- Portugal
- Autres
Source : Cleafy, 2024
Il survit aux redémarrages, redemande l'accès si l'Accessibilité est désactivée et bascule sur des domaines générés si ses serveurs sont neutralisés. Sources : Cleafy, Bitsight.
Perspectives
Ce qui vient ensuite
Les nouvelles technologies apportent du confort, et les attaquants s'en servent pour aller tout aussi vite.
Biométrie et blockchain
- Promesse
- Empreintes, reconnaissance faciale et blockchain peuvent renforcer la sécurité.
- Nouveau risque
- Des données biométriques volées ne peuvent pas être changées, et la blockchain peut être fragile là où elle est conçue ou intégrée.
La banque dans d'autres applications
- Promesse
- La banque intégrée aux applications d’achat, de VTC et sociales apporte du confort et de nouveaux services.
- Nouveau risque
- Elle élargit la surface d’attaque et les risques pour la vie privée, et exige un contrôle strict de chaque tiers.
Les banques 100 % digitales
- Promesse
- Les banques 100 % numériques transforment le secteur et bousculent les règles.
- Nouveau risque
- Des lacunes de conformité, et une faille ou une panne pèse plus sur la confiance sans agence de repli.
L'IA des deux côtés
- Promesse
- L’IA améliore les services bancaires et la détection de la fraude.
- Nouveau risque
- Des modèles biaisés ou opaques, des attaques contre l’IA elle-même, et des deepfakes qui se font passer pour des clients ou des employés.
La réponse
La sécurité à chaque build
Des analyses automatisées à chaque étape du développement, des standards de code sécurisé comme l’OWASP Mobile Top 10, et des outils d’IA qui trouvent les bugs tôt.
Comment nous avons testé
- Plus de 500 applications bancairesLes principales applications au monde, sur Android et iOS.
- 01Analyse statiqueLe moteur d'Ostorlab a examiné le code et les fichiers de chaque application à la recherche de secrets, de dépendances vulnérables, d'injections et de chiffrement faible.
- 02Analyse dynamiqueMonkey Tester a lancé et piloté chaque application dans un environnement contrôlé, avec du hooking d'API.
- 03Tests du backendLe trafic intercepté a été vérifié pour des vulnérabilités connues et soumis à du fuzzing pour l'injection SQL et XXE.
- RésultatsLes problèmes recensés sur l’ensemble des applications de ce rapport.
Non couvert : les problèmes derrière une connexion. Les analyses dynamiques ont été faites sans se connecter aux applications.
La sécurité ne peut plus être une réflexion après coup ni une case de conformité à cocher. Elle doit être intégrée à la conception, au développement et à la publication de chaque application bancaire.
Toutes les éditions
- 2025Mobile Banking App Security Research 2025Plus de 500 grandes applications bancaires dans le monde, Android et iOS.Vous lisez cette édition
- 2024Security Landscape of Mobile Banking Applications in North AmericaLa première édition : les applications bancaires aux États-Unis et au Canada.Lire le rapport
Télécharger le rapport complet
40 pages de résultats, de graphiques et l'étude de cas ToxicPanda.