Votre téléphone neuf peut déjà être obsolète
Ce n’est pas parce qu’une application bancaire fonctionne sur votre smartphone qu’elle y est en sécurité. Vous utilisez peut-être déjà un appareil vulnérable sans le savoir.
Votre banque vous demande d’installer son application pour mieux sécuriser vos opérations. Mais votre smartphone, lui, est-il encore sécurisé ? Un téléphone neuf, reconditionné ou récemment acheté sur une marketplace peut fonctionner avec un système ancien ou ne plus recevoir de correctifs de sécurité. Et le piège est redoutable : l’application bancaire peut parfois parfaitement s’installer et fonctionner sur un appareil qui n’est pourtant plus suffisamment protégé.
Avertissament, cet article date du 28 septembre 2026. Les recommandations techniques présentées ci-dessous évolueront avec les prochaines versions d’Android, iOS et iPadOS… Certaines recommandations peuvent être obsolètes d’ici quelques semaines ou mois.
Votre banque vous demande d’installer son application sur votre smartphone. Elle vous explique généralement que cette procédure est nécessaire pour renforcer la sécurité de votre compte, confirmer votre identité, valider une connexion ou autoriser certaines opérations.
La logique semble imparable.
Mais une question essentielle est rarement posée : le smartphone sur lequel cette application va être installée est-il lui-même encore sécurisé ?
Car un téléphone n’est pas simplement un appareil servant à téléphoner. C’est un ordinateur miniature connecté en permanence à Internet, équipé d’un système d’exploitation, de logiciels, de composants réseau, d’un navigateur, d’applications et de mécanismes d’authentification.
Et comme un ordinateur, il doit recevoir régulièrement des mises à jour de sécurité.
Une proportion importante du parc Android français utilise encore des générations anciennes du système. Pour ces appareils, la date réelle du correctif de sécurité et le maintien par le constructeur doivent impérativement être vérifiés avant de les considérer comme adaptés à des usages sensibles.
Un smartphone neuf n’est pas forcément un smartphone sécurisé
C’est probablement le piège le moins connu du grand public.
On peut acheter aujourd’hui un téléphone neuf et recevoir un appareil fonctionnant avec une version déjà ancienne d’Android. C’est notamment possible sur certaines marketplaces, avec d’anciens stocks, des smartphones d’entrée de gamme ou certains appareils importés.
L’acheteur ouvre une boîte neuve, retire les protections de l’écran et configure pour la première fois son téléphone. Psychologiquement, tout indique qu’il possède un appareil moderne.
Pourtant, le système installé peut avoir plusieurs générations de retard. C’est un peu comme si vous achetiez aujourd’hui un ordinateur neuf en magasin et qu’en l’allumant, vous découvriez qu’il fonctionne sous Windows XP, un système sorti en 2001. L’ordinateur serait neuf, mais son système d’exploitation serait depuis longtemps obsolète. Pour un smartphone, le problème est exactement le même.
C’est pourtant une situation qui peut exister avec certains smartphones vendus neufs : le matériel n’a jamais servi, mais la version d’Android installée est déjà ancienne et peut ne plus bénéficier d’un niveau de maintenance suffisant pour des usages sensibles.
Par exemple, un smartphone vendu neuf sous Android 12 ou 13 en 2026 doit immédiatement attirer l’attention. Pour des usages sensibles tels que la banque en ligne, l’authentification à deux facteurs, un gestionnaire de mots de passe ou l’accès à des données professionnelles confidentielles, ce type d’appareil n’est plus réellement et suffisament sécurisé.
Le problème est encore plus subtil : un smartphone peut afficher une version relativement récente d’Android tout en possédant des correctifs de sécurité très anciens.
Un téléphone sous Android 15 dont le dernier correctif de sécurité date de 2024 n’offre pas le même niveau de protection qu’un appareil sous Android 15 mis à jour en septembre 2026.
Il faut donc vérifier deux informations : la version d’Android et la date du dernier correctif de sécurité.
Un smartphone sous Android 14 avec des correctifs de sécurité récents peut ainsi être mieux protégé qu’un smartphone sous Android 15 dont les dernières mises à jour remontent à plusieurs années. Le numéro de version ne suffit donc pas, à lui seul, à déterminer si un appareil est sécurisé.
Le piège : l’application bancaire peut quand même s’installer
C’est probablement le point le plus trompeur.
Lorsqu’une application bancaire apparaît dans Google Play et que le bouton « Installer » est disponible, l’utilisateur peut naturellement en conclure que son téléphone est suffisamment sécurisé.
Ce raisonnement est faux.
Une application peut être développée selon les standards Android récents tout en restant compatible avec des versions plus anciennes du système. Chez Android, il existe notamment une différence entre la version d’Android ciblée par l’application et la version minimale sur laquelle son développeur autorise son installation.
Autrement dit, si Google Play autorise l’installation, cela signifie avant tout que l’application est compatible avec votre téléphone et qu’elle devrait fonctionner. Cela ne garantit pas que le système qui l’accueille soit encore correctement sécurisé. C’est un peu comme installer une porte blindée dernier cri sur une maison dont les murs et les fenêtres sont devenus fragiles : la porte peut être excellente, mais elle ne suffit pas à sécuriser l’ensemble.
Un appareil peut donc cumuler les trois caractéristiques suivantes :
- être ancien ou insuffisamment mis à jour
- présenter des vulnérabilités qui ont depuis été corrigées sur les systèmes plus récents
- continuer à accepter l’installation et l’utilisation d’une application sensible
Le même raisonnement vaut pour d’autres applications importantes : messagerie professionnelle, authentification à deux facteurs, coffre-fort numérique, gestionnaire de mots de passe, applications administratives ou accès aux données d’une entreprise.
Une application sécurisée ne peut pas rendre sécurisé un système qui ne l’est plus
Les banques consacrent évidemment des moyens considérables à la sécurité de leurs applications : chiffrement, biométrie, contrôle d’intégrité, détection d’appareils modifiés, authentification forte, limitation des tentatives, validation des opérations ou analyse des comportements suspects.
Mais une application ne fonctionne pas dans le vide.
Elle s’exécute à l’intérieur d’un système d’exploitation et utilise les composants du téléphone.
Lorsqu’une faille importante est découverte dans Android ou iOS, les constructeurs et éditeurs publient des correctifs. En septembre 2026, Google corrige encore dans Android des vulnérabilités critiques, dont certaines peuvent permettre l’exécution de code à distance ou une élévation de privilèges.
Le principe est exactement le même que sous Windows, macOS ou Linux : continuer à utiliser un système qui ne reçoit plus ses correctifs augmente progressivement l’exposition aux vulnérabilités connues.
Installer la dernière version d’une application bancaire sur un système abandonné ne résout pas ce problème.
Android : quelles versions utiliser pour une application bancaire en 2026 ?
Nous avons posé une question volontairement simple à une intelligence artificielle : « Puis-je installer sans risque une application bancaire sur un téléphone Android ancien ? » Nous avons ensuite recoupé les recommandations avec les bulletins de sécurité officiels d’Android.
Smartphone ou tablette Android : le combat est le même.
Au 28 septembre 2026, le bulletin de sécurité Android concerne actuellement Android 14, Android 15, Android 16 et Android 17. Cela ne signifie cependant pas que tous les téléphones équipés de ces versions reçoivent effectivement les correctifs : leur diffusion dépend également du constructeur et du modèle.
| Version Android | Usage bancaire en 2026 | Recommandation |
|---|---|---|
| Android 4 à 12 | Déconseillé | Ne pas utiliser comme appareil principal pour des applications sensibles |
| Android 13 | Déconseillé | Version désormais trop ancienne pour acheter volontairement un appareil destiné à la banque |
| Android 14 | Minimum technique acceptable | Uniquement si le téléphone reçoit encore des correctifs de sécurité récents |
| Android 15 | Recommandé | Bon minimum en 2026 si le constructeur continue à publier les mises à jour (mais pour combien de temps ?) |
| Android 16 | Très recommandé | Excellent choix avec correctifs récents et support constructeur encore long |
| Android 17 | Optimal | Version la plus récente, à privilégier lorsque le budget le permet |
Attention : ce tableau ne doit jamais être lu sans vérifier la date du correctif de sécurité.
Sur Android, cette information est généralement disponible dans les paramètres du téléphone, dans une rubrique du type :
Paramètres > À propos du téléphone > Version Android > Mise à jour de sécurité Android.
En septembre 2026, un appareil correctement maintenu devrait idéalement disposer d’un correctif très récent. Un téléphone dont la dernière mise à jour date de plusieurs années doit être considéré comme suspect pour un usage sensible, même si le numéro de version Android semble encore convenable.
Google sait techniquement détecter certains appareils insuffisamment mis à jour
Le problème n’est d’ailleurs pas impossible à traiter techniquement.
Google fournit aux développeurs des mécanismes permettant d’évaluer l’intégrité d’un appareil Android. Sur Android 13 et versions ultérieures, un niveau d’intégrité renforcé peut notamment tenir compte de la présence de mises à jour de sécurité relativement récentes.
Une application peut donc prendre en compte l’état du terminal et décider de limiter certaines fonctions ou de refuser l’accès à un environnement considéré comme insuffisamment fiable.
Mais ces contrôles et leur niveau d’exigence dépendent de la manière dont chaque éditeur conçoit son application.
C’est pourquoi l’utilisateur ne doit pas considérer le simple fonctionnement de son application bancaire comme une preuve que son appareil est à jour.
iPhone : même problème, avec un suivi plus simple à comprendre
Chez Apple, la situation est généralement plus lisible, car un seul constructeur (Apple) contrôle à la fois les iPhone (la matériel), iOS et la distribution des mises à jour (le système et ses correctifs).
En septembre 2026, Apple vient de publier iOS 27 et maintient également iOS 26.7 sur certains appareils. Des iPhone plus anciens, comme les iPhone XS et XR, ont encore reçu iOS 18.7.10 en août 2026.
Cela ne signifie pas pour autant qu’il serait judicieux d’acheter aujourd’hui volontairement un ancien iPhone bloqué sur une branche en fin de vie simplement pour y installer son application bancaire.
| Version iOS | Usage bancaire en 2026 | Recommandation |
|---|---|---|
| iOS 17 ou antérieur | Déconseillé | Ne pas choisir aujourd’hui un appareil limité à ces versions pour des usages sensibles |
| iOS 18 encore officiellement corrigé | Acceptable temporairement | Possible sur un appareil déjà possédé et toujours corrigé par Apple, mais peu pertinent pour un nouvel achat |
| iOS 26.7 | Recommandé | Version encore activement corrigée sur les appareils compatibles (mais pour combien de temps ?) |
| iOS 27 | Optimal | Version actuelle à privilégier |
Pour un achat d’occasion destiné notamment à des applications bancaires, mieux vaut privilégier un modèle capable d’exécuter la génération actuelle d’iOS plutôt que de choisir le téléphone le moins cher encore compatible avec l’application de sa banque.
Et les iPad ? Oui, le problème est exactement le même
Une tablette est elle aussi un ordinateur.
Le fait qu’elle reste principalement posée à domicile ou qu’elle soit utilisée uniquement en Wi-Fi ne supprime pas les risques liés à un système obsolète.
Apple utilise désormais iPadOS pour ses tablettes. Il s’agit d’un système distinct d’iOS, même si les deux plateformes partagent une grande partie de leurs technologies et de leur calendrier de sécurité.
| Version iPadOS | Usage sensible en 2026 | Recommandation |
|---|---|---|
| iPadOS 17 ou antérieur | Déconseillé | À éviter pour installer aujourd’hui une nouvelle application bancaire. |
| iPadOS 18 encore officiellement corrigé | Acceptable temporairement | À conserver uniquement tant que le modèle reçoit effectivement des mises à jour de sécurité. |
| iPadOS 26.7 | Recommandé | Convient aux appareils toujours officiellement pris en charge. |
| iPadOS 27 | Optimal | Version actuelle à privilégier pour un nouvel achat. |
La règle est donc identique pour une tablette Android ou un iPad : ne regardez pas seulement si l’application bancaire est disponible. Vérifiez si le système de l’appareil est toujours activement maintenu.
Marketplace, import, reconditionné : les vérifications à faire avant d’acheter
Le prix, la taille de l’écran, le nombre de mégapixels ou la capacité de stockage sont largement mis en avant dans les fiches produits. La durée de support logiciel pour la sécurité l’est beaucoup moins.
Pourtant, lorsqu’un téléphone doit servir pendant plusieurs années, cette donnée devrait devenir un véritable critère d’achat.
Avant d’acheter un smartphone neuf, reconditionné ou importé, vérifiez :
- la version exacte d’Android, d’iOS ou d’iPadOS actuellement disponible pour le modèle
- la date de son dernier correctif de sécurité
- la durée de support annoncée par le constructeur
- la date prévue de fin des mises à jour de sécurité
- la certification Google Play pour les appareils Android
- la possibilité réelle de mettre le téléphone à jour avant d’y installer des applications sensibles
Sur un téléphone Android d’une marque peu connue ou importé directement d’Asie, une question supplémentaire devient essentielle : qui publiera les mises à jour de sécurité dans deux ou trois ans ?
Un smartphone disposant d’excellentes caractéristiques techniques mais abandonné rapidement par son fabricant peut constituer un mauvais achat pour un utilisateur qui souhaite le conserver plusieurs années.
Toutes les marques Android ne se valent pas pour les mises à jour
Lorsqu’on achète un smartphone, on compare généralement le prix, l’appareil photo, la capacité de stockage, l’autonomie ou la taille de l’écran. Pourtant, un autre critère devrait devenir tout aussi important : pendant combien de temps le constructeur va-t-il continuer à mettre à jour l’appareil ?
Sur Android, toutes les marques ne proposent pas le même suivi. Et même au sein d’une même marque, la durée de support peut varier considérablement selon la gamme et le modèle.
Certains fabricants se distinguent aujourd’hui par des engagements particulièrement longs :
| Constructeur | Exemples de modèles | Suivi annoncé | Notre avis |
|---|---|---|---|
| Pixel 8 et modèles ultérieurs | 7 ans de mises à jour du système et de sécurité à partir de leur commercialisation | Excellent choix pour qui souhaite conserver longtemps un smartphone Android. | |
| Samsung | Galaxy S24 et certaines gammes récentes | Jusqu’à 7 ans de mises à jour du système et de sécurité selon les modèles | Très bon suivi sur les modèles concernés, mais il faut vérifier la politique précise du modèle acheté. |
| Fairphone | Fairphone 5 et Fairphone Gen. 6 | Au moins 8 ans de mises à jour de sécurité annoncées sur les modèles récents | Particulièrement intéressant pour conserver son téléphone très longtemps. |
| Xiaomi, Redmi et POCO | Selon les modèles | La politique générale annonce au moins 2 ans de mises à jour de sécurité, certains modèles bénéficiant d’un suivi plus long | À vérifier impérativement modèle par modèle avant l’achat. |
Ce tableau montre surtout qu’il ne faut pas raisonner uniquement par marque. Un Samsung ou un Xiaomi récent n’est pas automatiquement garanti sept ans : tout dépend du modèle et de la gamme.
La même prudence s’applique aux tablettes Android. Samsung propose par exemple jusqu’à sept ans de mises à jour Android et de sécurité sur certaines Galaxy Tab récentes, alors que d’autres modèles peuvent bénéficier d’un suivi moins long.
Chez Google, la Pixel Tablet bénéficie pour sa part de cinq années de mises à jour du système et de sécurité à compter de sa commercialisation.
La durée des mises à jour devrait devenir un critère d’achat
Avant d’acheter un smartphone ou une tablette, il serait donc judicieux de rechercher une information rarement mise en avant dans les magasins et sur les marketplaces :
« Jusqu’à quelle date ce modèle recevra-t-il des mises à jour de sécurité ? »
C’est une question particulièrement importante pour un appareil que l’on compte conserver quatre, cinq ou six ans.
Un smartphone à 250 euros bénéficiant encore de cinq années de correctifs peut ainsi constituer un meilleur achat qu’un modèle à 200 euros dont le support prendra fin l’année suivante.
Et lorsqu’un constructeur ne communique pas clairement sur la durée de ses mises à jour de sécurité, cela devrait constituer un signal de prudence, en particulier si l’appareil doit servir à la banque, à l’authentification, au stockage de mots de passe ou à des usages professionnels.
Enfin, il faut se méfier particulièrement des smartphones très bon marché vendus sur certaines marketplaces ou importés directement d’Asie. Le téléphone peut être neuf et parfaitement fonction
Le problème dépasse largement les applications bancaires
La même prudence devrait être appliquée à toutes les applications capables de donner accès à des informations ou à des services particulièrement sensibles :
- gestionnaires de mots de passe
- applications d’authentification à deux facteurs
- messageries professionnelles
- comptes Google, Microsoft ou Apple
- portefeuilles numériques
- documents administratifs
- données de santé
- services professionnels donnant accès aux données d’une entreprise
Plus nous centralisons notre identité numérique sur le téléphone, plus la sécurité du système qui l’héberge devient importante.
Le paradoxe des banques : sécuriser l’accès en le déplaçant vers un appareil qu’elles ne contrôlent pas
Il existe ici un véritable paradoxe.
Les règles européennes imposent depuis plusieurs années le principe d’une authentification forte pour de nombreuses opérations bancaires et paiements électroniques. Les applications mobiles sont devenues l’un des moyens fréquemment utilisés par les établissements pour mettre en œuvre ces mécanismes.
Mais il serait inexact d’affirmer que la réglementation européenne impose elle-même l’utilisation d’une application bancaire. La réglementation définit des exigences d’authentification et de sécurité ; les solutions techniques choisies pour les satisfaire peuvent varier.
Le résultat n’en reste pas moins paradoxal pour le consommateur : on peut lui demander d’installer une application au nom de la sécurité sans qu’il comprenne nécessairement que la sécurité dépend également de l’état du téléphone sur lequel cette application va fonctionner.
L’Autorité bancaire européenne prévoit d’ailleurs explicitement le cas où les éléments d’authentification sont utilisés sur un appareil polyvalent tel qu’un smartphone et impose aux prestataires de mettre en œuvre des mesures destinées à réduire les risques en cas de compromission de cet appareil.
Mais entre les principes réglementaires, les capacités techniques des applications et le téléphone réellement utilisé par chaque client, il reste un angle mort : le grand public ne connaît généralement ni la durée de support de son appareil ni la date de ses derniers correctifs.
Faut-il s’attendre à davantage d’attaques contre les smartphones bancaires ?
Il serait excessif d’annoncer avec certitude une future « vague de piratages » uniquement à cause du vieillissement des téléphones.
En revanche, la logique de cybersécurité est claire : lorsque de plus en plus d’opérations sensibles sont concentrées sur un même type d’appareil, cet appareil devient une cible de plus en plus intéressante.
Les attaquants cherchent rarement à attaquer le système le mieux protégé lorsqu’un maillon plus faible est disponible.
Un parc important de smartphones anciens, insuffisamment mis à jour mais toujours capables d’exécuter des applications bancaires constitue donc une surface d’attaque qu’il serait imprudent d’ignorer.
Les banques et les vendeurs devraient rendre cette information beaucoup plus visible
La responsabilité ne peut pas reposer uniquement sur un utilisateur auquel on demande de comprendre les versions Android, les niveaux d’API, les correctifs de sécurité et les politiques de support des constructeurs.
Une information simple pourrait être affichée beaucoup plus clairement par les banques :
- version minimale techniquement compatible
- version recommandée pour un usage sécurisé
- nécessité de disposer de correctifs de sécurité récents
- avertissement lorsqu’un appareil approche de sa fin de support
Les vendeurs de smartphones pourraient, eux aussi, afficher aussi visiblement la durée de support logiciel que la capacité de stockage ou la qualité de l’appareil photo.
La date de fin des mises à jour de sécurité est une caractéristique technique du produit. Pour de nombreux utilisateurs, elle est même plus importante que quelques mégapixels supplémentaires.
Comment vérifier son téléphone maintenant ?
Sur Android, recherchez dans les paramètres puis à propos du téléphone:
- la version Android
- le niveau du correctif de sécurité Android (vous risquez d’être suppris)
- la mise à jour du système Google Play
- les éventuelles mises à jour proposées par le constructeur
Sur iPhone ou iPad :
- ouvrez Réglages
- allez dans Général
- ouvrez Mise à jour logicielle
- installez la dernière version proposée pour votre appareil
Si votre appareil ne reçoit plus aucune mise à jour de sécurité depuis longtemps, posez-vous cette question avant d’y installer une nouvelle application sensible :
continuerais-je à faire mes opérations bancaires sur un ordinateur qui n’a reçu aucun correctif de sécurité depuis plusieurs années ?
Si la réponse est non, il n’y a pas de raison logique de traiter différemment un smartphone.
Attention : cet article lui-même deviendra obsolète
Les tableaux publiés ici correspondent à la situation observée au 28 septembre 2026.
Ils ne doivent surtout pas devenir une référence figée.
Dans quelques mois, une version actuellement considérée comme acceptable pourra sortir de la période de maintenance. Android 14 finira par disparaître des versions actuellement corrigées. Plus tard, Android 15 connaîtra le même sort. Apple abandonnera également progressivement certains anciens iPhone et iPad.
La bonne règle n’est donc pas :
« Android 15 sera toujours sécurisé ».
La bonne règle est :
« Mon appareil utilise-t-il une version encore maintenue et reçoit-il réellement les derniers correctifs de sécurité ? »
Est-ce vraiment dangereux ou sommes-nous trop alarmistes ?
À ce stade, une objection est légitime : les banques ne sont évidemment pas inconscientes des risques informatiques. Leurs applications sont testées, protégées et entourées de nombreuses mesures de sécurité. Alors, faut-il réellement s’inquiéter parce qu’un téléphone utilise une ancienne version d’Android ?
La réponse mérite d’être nuancée : utiliser un téléphone ancien ne signifie pas que votre compte bancaire va être piraté.
Une banque peut mettre en place de nombreuses protections : chiffrement des communications, authentification forte, contrôle de l’intégrité de l’appareil, détection des téléphones modifiés ou rootés, surveillance des opérations inhabituelles, limitation de certaines actions ou encore blocage d’une transaction considérée comme suspecte.
Une application bancaire moderne peut donc rester relativement bien protégée même lorsqu’elle fonctionne dans un environnement qui n’est pas idéal.
C’est d’ailleurs précisément le travail des banques : ne jamais faire reposer la sécurité sur une seule protection.
Mais une banque ne peut pas réparer Android à la place du constructeur
Il existe cependant une limite importante.
Une banque contrôle son application et ses serveurs. Elle ne contrôle pas entièrement le système d’exploitation du téléphone sur lequel son application est installée.
Si une vulnérabilité est découverte dans Android, dans un composant du constructeur ou dans une partie profonde du système, c’est Google ou le fabricant du téléphone qui doit fournir le correctif.
Si le smartphone n’est plus maintenu, ce correctif peut ne jamais arriver.
C’est là que se situe réellement le problème.
Une excellente application bancaire peut réduire les conséquences d’un système insuffisamment sécurisé, mais elle ne peut pas transformer un système obsolète en système à jour.
« Notre application fonctionne sur Android 10 » ne signifie pas « Android 10 est sécurisé »
Il faut également distinguer deux notions qui peuvent facilement être confondues : la compatibilité et la sécurité.
Lorsqu’une banque indique que son application fonctionne à partir d’une certaine version d’Android, cela signifie d’abord que l’application a été conçue pour pouvoir fonctionner sur cette version (techniquement parlant).
Cela ne signifie pas nécessairement que tous les smartphones utilisant cette version disposent encore des derniers correctifs de sécurité.
De la même manière, lorsqu’une banque teste son application, elle peut vérifier son fonctionnement, ses mécanismes de protection et son comportement dans différentes configurations. Elle ne peut pas garantir pour autant qu’aucune vulnérabilité inconnue ou non corrigée n’existe dans le système d’exploitation du téléphone.
Ce serait un peu comme un constructeur de coffre-fort indiquant que son coffre fonctionne parfaitement dans une maison ancienne. Le coffre peut effectivement être excellent sans que le constructeur puisse garantir l’état de toute la maison.
Google lui-même fait la différence entre un appareil compatible et un appareil fortement sécurisé
Cette distinction n’est pas seulement théorique.
Android possède des mécanismes permettant aux développeurs d’évaluer l’état d’un appareil. Google peut notamment fournir à une application des informations lui permettant de déterminer si le téléphone est authentique, s’il a été modifié et, sur les versions récentes d’Android, s’il dispose de mises à jour de sécurité suffisamment récentes.
Google distingue ainsi différents niveaux d’intégrité du terminal. Le niveau de confiance le plus élevé exige notamment, sur Android 13 et versions ultérieures, des correctifs de sécurité récents.
Autrement dit, Android lui-même reconnaît qu’un appareil capable de faire fonctionner une application n’est pas nécessairement un appareil présentant le niveau de confiance maximal.
Le risque n’est donc pas binaire
Il serait incorrect de présenter les choses ainsi :
« Téléphone récent = aucun risque » et « téléphone ancien = piratage assuré ».
La cybersécurité ne fonctionne pas de cette manière.
Il faut plutôt imaginer une accumulation de couches de protection. Le système d’exploitation en constitue une. L’application bancaire en constitue une autre. L’authentification forte, la biométrie, les contrôles effectués par la banque et le comportement de l’utilisateur en constituent d’autres.
Lorsqu’une de ces couches est ancienne ou vulnérable, toutes les autres ne disparaissent pas subitement. Mais la défense globale devient moins solide.
C’est précisément la raison pour laquelle les mises à jour de sécurité existent.
Les autorités elles-mêmes demandent de tenir compte de ce risque
Le risque lié au terminal n’est d’ailleurs pas une invention destinée à inquiéter les utilisateurs.
Les autorités européennes chargées de la réglementation bancaire prévoient explicitement le cas d’un smartphone qui pourrait être compromis et demandent aux établissements financiers de mettre en œuvre des mesures pour en limiter les conséquences.
En France, l’ANSSI recommande de maintenir les systèmes et logiciels à jour afin de corriger les vulnérabilités connues.
La CNIL va également dans ce sens : elle recommande aux éditeurs d’applications mobiles de concevoir leurs services de manière à conserver autant que possible un niveau de sécurité suffisant, y compris lorsque le terminal présente des risques, mais elle indique aussi que les éditeurs doivent s’interroger sur la nécessité d’imposer des versions récentes des systèmes d’exploitation lorsque les données traitées sont sensibles.
Ce dernier point résume finalement très bien le problème : les protections de l’application doivent compenser autant que possible les faiblesses du téléphone, mais cela ne rend pas les mises à jour du téléphone inutiles.
Alors, faut-il s’inquiéter si votre téléphone est ancien ?
Oui, si votre téléphone ne reçoit plus de mises à jour de sécurité. Mais l’âge de l’appareil, à lui seul, ne suffit pas pour mesurer le risque.
Le véritable signal d’alerte est la date de son dernier correctif de sécurité. Un smartphone de plusieurs années qui reçoit encore régulièrement ses mises à jour peut rester correctement protégé. À l’inverse, un téléphone plus récent mais abandonné par son constructeur peut présenter davantage de risques.
Et surtout, ne vous laissez pas rassurer uniquement parce que votre application bancaire fonctionne normalement. Elle peut parfaitement s’ouvrir, vous permettre de consulter vos comptes et de valider des opérations alors que le système qui l’héberge n’a plus reçu de correctifs depuis plusieurs années.
Cela ne signifie pas qu’un pirate peut automatiquement accéder à votre compte du jour au lendemain. Mais cela signifie que certaines vulnérabilités découvertes depuis peuvent rester présentes sur votre téléphone, alors qu’elles ont été corrigées sur les appareils encore maintenus.
Continuer à utiliser un tel appareil pour concentrer sa banque, ses mots de passe, son authentification, ses e-mails et ses documents personnels revient donc à accepter un niveau de risque supplémentaire qui augmente avec le temps.
La première chose à faire n’est donc pas de paniquer, mais de vérifier immédiatement deux informations : la version du système et surtout la date de la dernière mise à jour de sécurité.
Quelle ancienneté est acceptable pour une mise à jour de sécurité ?
Il n’existe pas de date magique à partir de laquelle un smartphone devient soudainement dangereux. Mais pour un appareil utilisé pour la banque ou d’autres données sensibles, nous pouvons retenir un repère simple : un correctif datant de moins de trois mois est préférable ; au-delà de six mois, il faut commencer à s’interroger ; au-delà d’un an, il faut considérer la situation comme un véritable signal d’alerte.
Si l’on veut réellement suivre les récommandations de Google, on peut imaginer ceci :
Idéal : moins de 3 mois
Vigilance : 3 à 6 mois
Préoccupant : 6 à 12 mois
Signal d’alerte : plus d’un an
Ce seuil d’un an n’est d’ailleurs pas choisi au hasard : sur Android 13 et versions ultérieures, Google exige notamment des mises à jour de sécurité datant de moins d’un an pour qu’un appareil puisse satisfaire son niveau Strong Integrity, le niveau d’intégrité le plus exigeant de son système Play Integrity. Cela ne signifie pas qu’un appareil corrigé il y a onze mois est automatiquement sûr : plus les correctifs sont récents, mieux c’est.
Retenez ceci : compatible ne veut pas dire sécurisé
Nous avons pris l’habitude de vérifier si notre téléphone est compatible avec une application.
Il faut désormais prendre l’habitude de vérifier s’il est encore maintenu.
Un smartphone peut être neuf et déjà utiliser un système trop ancien. Un téléphone peut fonctionner parfaitement tout en ne recevant plus les correctifs nécessaires. Une application bancaire peut parfois s’installer sur un appareil dont le niveau de sécurité n’est plus celui que l’on attendrait pour des opérations financières.
Et c’est probablement là que se situe aujourd’hui le principal problème : l’utilisateur voit immédiatement si une application fonctionne, mais il ne voit pas les vulnérabilités qui n’ont jamais été corrigées.
La réglementation peut imposer des principes d’authentification forte, mais elle évolue nécessairement plus lentement que les systèmes d’exploitation, les smartphones, les méthodes d’attaque et les cycles de support des fabricants.
La réponse ne peut donc pas être uniquement réglementaire. Elle doit aussi passer par une meilleure information des consommateurs, des exigences techniques plus lisibles de la part des banques et une réelle transparence des fabricants et des vendeurs sur la durée de vie logicielle des appareils qu’ils commercialisent.
Avant d’installer votre banque sur un smartphone, la première question ne devrait peut-être plus être : « Est-ce que l’application est compatible ? »
Mais plutôt : « Est-ce que ce téléphone reçoit encore ses mises à jour de sécurité ? »
Sources et références
Pour approfondir le sujet et vérifier les recommandations présentées dans cet article, voici une sélection de sources officielles et de travaux de recherche consacrés à la sécurité des smartphones, aux mises à jour et aux applications sensibles.
- ANSSI – Agence nationale de la sécurité des systèmes d’information
L’ANSSI rappelle que les mises à jour permettent de corriger les failles de sécurité découvertes dans les systèmes et logiciels et recommande de les installer dès qu’elles sont disponibles.
10 règles d’or en matière de sécurité numérique – ANSSI - CNIL – Sécurité des applications mobiles
La CNIL rappelle notamment que le système d’exploitation constitue le socle de la sécurité du terminal et formule des recommandations spécifiques pour la conception d’applications traitant des données sensibles.
Sécurité des applications mobiles : conception et développement – CNIL - Google – Bulletin de sécurité Android
Google publie régulièrement les vulnérabilités corrigées dans Android, leur niveau de criticité ainsi que les niveaux de correctifs de sécurité correspondants. Cette documentation permet de comprendre pourquoi les mises à jour régulières du système sont essentielles.
Bulletin de sécurité Android – septembre 2026 - Google – Play Integrity API
Google utilise différents niveaux d’intégrité pour évaluer la confiance pouvant être accordée à un appareil. Sur Android 13 et versions ultérieures, le niveauMEETS_STRONG_INTEGRITYtient notamment compte de la présence de mises à jour de sécurité suffisamment récentes.
Évaluations d’intégrité – Android Developers - Google – Configuration de Play Integrity
La documentation officielle précise notamment que, sur Android 13 et versions ultérieures, l’obtention du niveau d’intégrité le plus élevé nécessite des mises à jour de sécurité datant de moins d’un an. Ce délai constitue un repère intéressant, sans pour autant signifier qu’un appareil corrigé il y a onze mois serait automatiquement exempt de risques.
Configurer Play Integrity – Android Developers - Autorité bancaire européenne – EBA
L’Autorité bancaire européenne prend explicitement en compte le risque de compromission des appareils mobiles utilisés pour l’authentification forte. Les établissements doivent mettre en œuvre des mécanismes destinés à limiter les conséquences de la compromission d’un terminal.
EBA – Strong Customer Authentication and mobile devices - Apple – Mises à jour de sécurité
Apple publie la liste des mises à jour de sécurité disponibles pour iOS, iPadOS, macOS et ses autres systèmes, ainsi que les appareils concernés. Cette page permet notamment de vérifier quelles générations d’iPhone et d’iPad bénéficient encore de correctifs.
Mises à jour de sécurité Apple - Google Research / IEEE – Étude sur les mises à jour de sécurité Android
Cette étude à grande échelle analyse des centaines de milliers d’historiques de mises à jour Android et met en évidence d’importantes différences de rapidité de déploiement selon les constructeurs, les appareils et les régions.
Unveiling the Global Landscape of Android Security Updates – Google Research - USENIX Security – Écosystème des correctifs Android
Ces travaux de recherche montrent notamment que le délai entre la publication d’un correctif et son arrivée effective sur les smartphones peut varier fortement et parfois atteindre plusieurs mois, voire davantage selon les composants et les appareils.
An Investigation of the Android Kernel Patch Ecosystem – USENIX Security
À retenir : ces sources convergent sur un même principe : la sécurité d’un smartphone ne dépend pas uniquement de la version de l’application utilisée. Elle dépend également du système d’exploitation, de la régularité des correctifs de sécurité et de la durée pendant laquelle le constructeur continue à maintenir l’appareil.