"Subway Surfers", "Block Blast!", "Brawl stars": ces jeux gratuits cumulent des milliards de téléchargements et envoient vos données en Russie et en Chine

"Si c'est gratuit, c'est vous le produit!", résume cette ritournelle du net. Et la dernière enquête publiée par Proton, fournisseur de services de protection de la vie privée, et l'association Exodus Privacy, qui analyse les trackers et les permissions cachés dans les applications Android, ne semblent pas devoir faire mentir ce raccourci grinçant. Ces deux acteurs se sont intéressés aux jeux mobiles gratuits qui trustent le haut du classement de la boutique d'applications Google Play Store et occupent notre temps libre dans les transports ou ailleurs.

Jeux de stratégie, jeux de réflexion, puzzles, coloriage…, ils doivent notamment leur succès à leur modèle économique Free-to-play (gratuit), souvent compensé par de la publicité à outrance. Mais cette gratuité a aussi un revers moins glorieux et un coût: ces applications récupèrent vos données personnelles allègrement et participent d'une surveillance généralisée.

Le top des jeux au top de la surveillance

Selon l'enquête, la très grande majorité des jeux mobiles les plus populaires du Play Store intègrent des dizaines de trackers publicitaires qui envoient des données personnelles vers des pays aux lois bien souvent laxistes en termes de vie privée, ou géopolitiquement sensibles comme la Russie ou la Chine. Parmi les jeux qui servent de chevaux de Troie, on trouve des jeux téléchargés des millions de fois comme Subway Surfers, Brawl Stars, Block Blast!, Disney Solitaire, Coin Master, Royal Kingdom ou encore Arrows - Puzzle Escape et Vita Mahjong. Au total, ils représentent à eux tous plus de 20 milliards de téléchargements à travers le monde.

Proton s'est donc intéressé au Top 100 des jeux gratuits en France, Etats-Unis, Royaume-Uni et Allemagne, selon AppTweak (mai 2026). Ses équipes ont analysé le code source des apps avec l'aide d'Exodus Privacy, plateforme open source qui détecte les signatures logicielles de pistage publicitaire, d'analyse comportementale et de profilage.

Cela a permis de définir le nombre de trackers que ces apps contenaient, si elles pistaient la géolocalisation en temps réel des utilisateurs et autres infos. En moyenne, ces jeux contiennent près de 29 trackers différents chacun. La palme revient à Vita Mahjong et ses 36 trackers.

Des risques multipliés

Ces trackers ne servent pas seulement à vous afficher des publicités personnalisées. Ils s'avèrent plus invasifs qu'il n'y paraît. Ils collectent bien souvent l'identifiant unique de l'appareil, le modèle du téléphone, les applications installées, les habitudes d'utilisation, des infos personnelles (âge, genre, adresse mail, données financières parfois). Ils peuvent aussi suivre la position géographique en fonction de l'heure. De quoi connaître le lieu d'habitation ou de travail, l'adresse de votre docteur ou de votre lieu de culte, votre participation éventuelle à des manifestations ou rassemblements, etc.

Comme l'indique Proton, pour des jeux comme Pokemon Go, basé sur la géolocalisation du joueur, cela se justifie. En revanche, difficile de comprendre pourquoi votre situation géographique a un quelconque intérêt dans un jeu de puzzles ou de coloriage. Si elles permettent à des sociétés de publicité en ligne de dresser votre portrait pour mieux vous cibler, ces bases de données géantes constituées peuvent aussi être la cible de cybercriminels qui veulent s'en emparer à des fins mercantiles ou mal intentionnées. Ce fut d'ailleurs le cas fin 2025 avec le piratage de Mixpanel, outil d'analyse comportementale intégré à de nombreuses applications phares comme Roblox, rappelle Proton.

Mais le plus problématique vient d'entreprises d'ad tech situées en Chine et en Russie qui redirigent bon nombre des informations recensées par les trackers. De par leur cadre juridique, elles sont contraintes de coopérer avec des agences de renseignement locales. Les données de citoyens et d'enfants occidentaux se retrouvent ainsi indirectement et involontairement dans les mains de puissances rivales.

La principale préoccupation de l'enquête concerne d'ailleurs ces importantes quantités de données hautement personnelles envoyées à des pays hostiles à la protection de la vie privée, "avec une transparence minimale et sans véritable obligation de rendre des comptes." Mais les États-Unis aussi, en tant que membre des Five Eyes (États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande), héritent de données sensibles. Des agences fédérales comme le FBI achètent ainsi directement les données de géolocalisation à des courtiers privés pour éviter d'avoir à demander un mandat judiciaire.

La France n'y échappe pas

L'enquête présente aussi les résultats pays par pays avec quelques disparités intéressantes, même si les destinataires des données utilisateurs dérobées sont généralement les mêmes acteurs, dans le même ordre. En France, les 100 jeux mobiles les plus populaires du Play Store ont cumulé plus de 4 millions de téléchargements sur le seul mois de mai 2026. Et le constat n'est pas plus réjouissant:

• 78% des téléchargements envoient des données personnelles à des entités publicitaires en Chine (soit 3,1 millions de téléchargements).
• 70% partagent des données avec des acteurs en Russie (2,8 millions).
• 93% redirigent les données vers Israël.
• 98% terminent dans des serveurs situés dans les pays de l'alliance des Five Eyes.
• 68% des téléchargements distribuent les données à l'ensemble de ces destinations simultanément.

Si les pays des Five Eyes représentent la majorité des envois traités, tout comme Israël où l'on trouve énormément de start-up adtech, la Chine est loin derrière et la Russie un peu plus encore. Aux États-Unis, la Chine devance largement la Russie (81% contre 71% des jeux téléchargés), les Five Eyes et Israël sont les principaux destinataires des données (98 et 95%).

Proton signale aussi que plus de 330.000 téléchargements dans l'Hexagone concernent des applications qui traquent activement la géolocalisation physique de l'utilisateur.

Mais l'étude souligne aussi un paradoxe bien français et une contradiction politique majeure: alors que l'on cherche toujours à trancher sur l'interdiction ou non des réseaux sociaux aux mineurs de moins de 15 ans pour leur protection, on les laisse jouer à des jeux qui envoient leurs données directement en Chine ou en Russie, sans le moindre contrôle réglementaire ou législatif.

Les bons réflexes pour se protéger

Selon Proton, les magasins d'applications comme le Play Store de Google ou l'App Store d'Apple ferment parfois les yeux sur quelques pratiques peu recommandables en échange de leur commission. Plusieurs gestes individuels peuvent être de bons réflexes pour protéger son smartphone et sa vie privée de toute intrusion.

• Sur l'App Store comme sur le Play Store, les développeurs ont pour obligation d'afficher toutes les données qu'ils comptent récolter. N'hésitez pas à lire la fiche afin de savoir à quoi vous vous exposez. Certaines demandes peuvent déjà vous alerter avant même de télécharger l'application.
• Restreignez au maximum les autorisations réclamées et refusez les accès inutiles à votre micro, votre carnet de contacts, vos photos ou votre localisation si cela n'a pas d'utilité dans le jeu (très souvent!). Les pop-up peuvent s'enchaîner, les pages de demande d'activation aussi, soyez vigilants à ce que vous validez.
• Sur la plateforme Exodus Privacy (web ou application), vous pouvez scanner une application afin de connaître le nombre et la nationalité des trackers qui sont embarqués.
• Pour les plus avancés, il est possible de bloquer le trafic des trackers à la racine en utilisant des bloqueurs de publicités et de trackers au niveau du réseau ou du DNS (filtrage DNS intégré à certains VPN ou à des solutions). Les requêtes vers les domaines de pistage connus seront immédiatement bloquées.
• Le gratuit est séduisant, mais pas exempt de tous risques. Privilégier les jeux payants ou sur abonnement sans publicité peut s'avérer plus rassurant, moyennant quelques euros qui récompensent aussi le travail de créativité des développeurs. Ces derniers n'ont donc généralement pas besoin de monétiser votre vie privée pour s'en sortir, leur intérêt étant aligné avec le respect de l'utilisateur, à l'inverse du modèle gratuit.