Le 2 novembre, le magazine WIRED a publié une enquête selon laquelle environ 400 applis et sites interconnectés, qui se présentent comme des portraits d’animaux, des outils d’apprentissage des langues ou des coachs sportifs IA, chargent dans certaines conditions une seconde interface permettant d’envoyer les photos d’autres personnes pour générer des images et des vidéos explicites. Ces contenus relèvent de deepfakes d’abus sexuel non consentis, certains comportant en outre de la violence.
Le premier indice est venu de publicités vidéo sur Facebook et Instagram. En remontant la piste de milliers d’annonces explicites, les chercheurs ont constaté qu’elles menaient à des applis présentes sur les boutiques d’Apple et de Google, avec paiement via Apple Pay et Google Pay.
Le changement n’intervient qu’après la validation
Selon l’enquête, après chaque téléchargement, l’appli envoie au serveur des informations comme l’origine de l’utilisateur, la langue et un identifiant unique, et le serveur décide d’afficher la version ordinaire ou la version explicite. Arriver depuis l’une des publicités Meta concernées puis télécharger l’appli semble être l’une des conditions de déclenchement, mais les règles précises restent floues.
Apple qualifie cette méthode de « bait-and-switch » : le développeur remplace la source du contenu une fois l’appli approuvée. Le réviseur voit une appli de portraits d’animaux, tandis que l’utilisateur payant peut voir tout autre chose.
Parmi les exemples cités, Viefur se présente comme une appli de « portraits d’animaux » et vend 130 pièces pour environ 4 dollars ; DiffAI a été créée en décembre 2025 et dépasse les 100 000 téléchargements sur Google Play.
Les chiffres sur l’ampleur du phénomène proviennent de plusieurs organismes de recherche :
- AI Forensics : en septembre, 27 applis liées étaient encore disponibles sur Google Play, cumulant plus de 350 000 téléchargements, beaucoup étant classées comme adaptées à tous les âges ; cette année, des dizaines de milliers d’annonces explicites associées ont été diffusées ; au plus fort, environ 30 sites étaient enregistrés chaque semaine
- Infoblox : près de 500 domaines associés ont été identifiés ; selon les chercheurs, ils « exécutent le même code et se référencent mutuellement »
Le chercheur d’AI Forensics Paul Bouchaud en tire la conclusion suivante :
« This is an organized, commercially run operation: One operator behind hundreds of disposable apps and domains »
(Il s’agit d’une opération organisée et commerciale : un seul opérateur derrière des centaines d’applis et de domaines jetables.)
La réponse des plateformes
Apple a retiré 19 applis après les éléments fournis par WIRED et indique avoir mis à jour ses règles pour restreindre davantage ce type d’outils. Google n’a pas répondu à la demande de commentaire, mais avait déjà supprimé la plupart de ces applis avant que les journalistes ne le contactent.
Après avoir reçu la liste des domaines, Meta a d’abord confirmé plus de 3 000 annonces concernées, dont environ les deux tiers ont été supprimées ; elle a ensuite indiqué avoir agi contre 11 600 comptes publicitaires, plus de 4 700 pages d’entreprise, 5 200 utilisateurs et 15 000 pages, et avoir empêché 209 applis de diffuser des publicités. Selon l’enquête, ces annonces ont déjà donné lieu à des investigations de régulateurs dans plusieurs pays. L’organisation à but non lucratif américaine Tech Transparency Project avait par ailleurs déjà repéré des publicités de deepfakes représentant des mineurs.
Des indices qui mènent à des développeurs chinois
Pour le lecteur chinois, le passage le plus difficile à éluder concerne l’identité des opérateurs. WIRED et les chercheurs s’appuient sur un faisceau d’indices indirects : de nombreux commentaires en chinois dans le code, un hébergement exclusivement situé en Chine, des filigranes d’un logiciel de montage vidéo chinois sur les publicités, ainsi que les coordonnées, la page de connexion à l’administration et plusieurs adresses e-mail du premier site enregistré, qui renvoient à une société immatriculée à Hong Kong, KeLing Technology Limited.
Il s’agit d’appréciations issues de l’enquête, et la formulation de WIRED laisse elle aussi une marge de prudence. La société n’a pas répondu à la demande de commentaire, et des informations publiques la concernant ont été modifiées ou supprimées après les questions des journalistes. Meta indique qu’elle était déjà interdite de publicité en 2025. L’orthographe anglaise du nom de la société diffère de celle du modèle vidéo Kling de Kuaishou, et l’enquête ne mentionne aucun lien entre les deux ; le lecteur ne doit pas les confondre.
Le média danois DR avait déjà rapporté une partie de ces faits en septembre. À ce stade, l’enquête ne fait état ni d’une procédure ouverte par les forces de l’ordre ni de sanctions systématiques au niveau des boutiques, et aucun organisme n’a fourni de chiffre récent sur le nombre d’applis du réseau encore en ligne.
Sources : magazine WIRED, AI Forensics, CocoLoop, Infoblox ; les chiffres des mesures prises par les plateformes reprennent les informations fournies aux médias par Apple et Meta, l’identité des opérateurs relève d’une appréciation de l’enquête.