L'opération de stalkerware Spyhide a été piratée, rebaptisée Oospy, puis a de nouveau cessé d'exister en quelques semaines

Spyhide était une application de surveillance téléphonique qui facilitait l'espionnage de dizaines de milliers de propriétaires d'appareils Android dans le monde. Un stalkerware de ce type est installé sur le téléphone d'une victime, souvent par une personne qui connaît son code d'accès, puis il dérobe en continu les contacts, les messages, les photos, les journaux d'appels, les enregistrements et l'historique de localisation détaillé.

En 2023, un piratage a exposé l'opération et les administrateurs qui en tiraient profit, et le site web de Spyhide a disparu d'Internet — mais son serveur dorsal, hébergé sur un domaine entièrement différent, est resté en ligne et a continué à communiquer avec les téléphones qu'il surveillait. Cela a permis aux administrateurs de relancer l'activité fin juillet 2023 sous le nom d'Oospy sans perturber l'espionnage lui-même.

Le second acte n'a duré que quelques semaines. TechCrunch a identifié deux administrateurs, dont Mohammad (Mojtaba) Arasteh, qui a confirmé avoir travaillé sur le projet « il y a plusieurs années en tant que programmeur » mais a nié toute implication dans Oospy. Une erreur sur la page de paiement d'Oospy a exposé le nom du titulaire du compte sur l'adresse PayPal qui recevait les paiements des clients, et Oospy a rapidement cessé d'accepter PayPal. Le 5 octobre 2023, l'hébergeur web Hetzner a mis hors ligne le serveur dorsal — qui stockait les données téléphoniques volées de milliers d'appareils Android — pour violation de ses conditions d'utilisation, mettant fin à la capacité de l'opération de fonctionner.

Au moins 60 000 victimes dans le monde, dont des milliers aux États-Unis ; la nouvelle marque n'a survécu que quelques semaines avant que son hébergeur ne résilie le contrat.

La nouvelle marque a maintenu en vie le back-end compromis sur son domaine d'origine, de sorte que la même infrastructure est restée à la fois une cible et une trace.

L'économie du stalkerware reposait sur des circuits conventionnels : PayPal traitait les paiements des clients malgré des politiques interdisant les logiciels espions, et cette dépendance est devenue la seconde exposition.

L'exposition s'est aggravée lorsque les chercheurs ont nommé les administrateurs — chaque détail opérationnel, jusqu'à un nom de famille partagé sur un compte PayPal, est devenu une preuve.

L'hébergeur web était la contrepartie qu'aucune nouvelle marque ne pouvait remplacer : Hetzner a fait appliquer ses conditions d'utilisation et a éteint le serveur.

Un changement de marque corrige le nom, pas la fuite : le même back-end, les mêmes circuits de paiement et les mêmes erreurs opérationnelles vous rattraperont une seconde fois.

Le site web d'Oospy est devenu totalement inaccessible peu après que TechCrunch a contacté Arasteh, et l'arrêt du serveur a marqué la fin de la capacité de Spyhide et d'Oospy à opérer — pour l'instant. Ils ont suivi le stalkerware polonais LetMeSpy, qui a fermé après une violation de données en juin 2023, et SpyTrac, l'une des plus grandes applications espionnes Android connues, qui a disparu après qu'une enquête de TechCrunch l'a liée à Support King — le fabricant que la FTC avait banni de l'industrie de la surveillance après une violation antérieure.