Imaginez que votre smartphone, cet outil indispensable au quotidien pour gérer votre business, communiquer avec vos clients ou développer votre startup, devienne subitement un espion à votre insu. Des messages privés, des photos personnelles, votre localisation en temps réel : tout accessible à une tierce personne. C’est la réalité terrifiante qu’ont vécue des milliers de victimes de stalkerware, ces applications de surveillance clandestine. Récemment, la Federal Trade Commission (FTC) aux États-Unis a rappelé à quel point elle prend ce sujet au sérieux en refusant de lever une interdiction prononcée contre un acteur majeur de ce marché noir.
Cette décision, annoncée début décembre 2025, concerne Scott Zuckerman, fondateur de plusieurs entreprises spécialisées dans ces logiciels intrusifs. Elle envoie un signal fort aux entrepreneurs tech : la protection des données personnelles n’est plus négociable, même quand les coûts de conformité pèsent sur les affaires. Pour les fondateurs de startups, les marketeurs digitaux et tous ceux qui naviguent dans l’écosystème tech, c’est une piqûre de rappel essentielle sur les risques légaux et éthiques liés à la privacy.
Qu’est-ce que le stalkerware et pourquoi est-il si dangereux ?
Le stalkerware désigne des applications installées secrètement sur un appareil mobile pour espionner son propriétaire. Contrairement aux outils de contrôle parental légitimes, ces logiciels sont conçus pour rester invisibles et permettre un accès total : textos, appels, photos, géolocalisation, messages WhatsApp ou même enregistrements audio.
Pour les victimes – souvent des conjoint·e·s dans des relations toxiques – les conséquences sont dévastatrices. Mais le danger ne s’arrête pas là. Comme l’a démontré l’affaire SpyFone, ces entreprises collectent des volumes énormes de données ultra-sensibles sans aucune mesure de sécurité sérieuse.
En 2018, un chercheur en sécurité a découvert un bucket Amazon S3 mal configuré appartenant à SpyFone. Résultat ? Des milliers de selfies, messages, enregistrements audio et données de localisation de plus de 3 600 téléphones étaient accessibles publiquement. Plus de 44 000 adresses email uniques et les informations de plus de 2 200 clients étaient exposées. Un désastre total pour la privacy des deux côtés : victimes comme acheteurs.
L’intervention historique de la FTC en 2021
Face à cette faille massive, la FTC n’a pas hésité. En 2021, elle a prononcé une sanction rare : une interdiction à vie pour Scott Zuckerman d’exercer dans l’industrie de la surveillance. L’agence a également exigé la suppression complète des données collectées par SpyFone et imposé des audits réguliers ainsi que des pratiques cybersécurité renforcées pour toute future activité commerciale de Zuckerman.
« SpyFone est un nom de marque effronté pour une entreprise de surveillance qui a aidé les stalkers à voler des informations privées. »
– Samuel Levine, ancien directeur par intérim du Bureau de protection des consommateurs de la FTC
Cette citation illustre parfaitement le ton employé par la FTC : zéro tolérance pour les pratiques qui mettent en danger la vie privée. La décision allait plus loin que la simple fermeture de l’entreprise ; elle visait personnellement le fondateur, une mesure exceptionnelle soulignant la gravité des faits.
La tentative de retour de Scott Zuckerman
Quatre ans plus tard, en juillet 2025, Zuckerman a déposé une requête pour faire annuler ou assouplir cette interdiction. Ses arguments ? Les exigences de sécurité imposées par la FTC rendent ses autres activités commerciales trop coûteuses. Aujourd’hui, il affirme gérer uniquement un restaurant et projeter des ventures touristiques à Porto Rico.
Mais la FTC n’a pas été convaincue. Le 8 décembre 2025, elle a officiellement rejeté la demande, maintenant l’interdiction totale d’opérer dans le domaine de la surveillance. Une décision qui montre que les régulateurs gardent en mémoire les violations passées et ne laissent pas facilement une seconde chance.
Les soupçons de contournement de la sanction
Ce qui rend cette affaire encore plus édifiante, c’est qu’en 2022 – à peine un an après la sanction – des journalistes de TechCrunch ont révélé que Zuckerman semblait impliqué dans une nouvelle application stalkerware : SpyTrac.
Une fuite de données massive de SpyTrac a mis au jour des liens directs avec d’anciens développeurs de Support King (la maison-mère de SpyFone). Pire : les données incluaient des enregistrements provenant de SpyFone, que Zuckerman était pourtant tenu de détruire, ainsi que des clés d’accès au stockage cloud d’une autre de ses anciennes applications.
Ces éléments suggèrent une tentative claire de contourner l’interdiction fédérale. Pour les experts, cela démontre que certaines personnes ne tirent pas les leçons de leurs erreurs, même face à des sanctions lourdes.
« M. Zuckerman espérait manifestement qu’en restant discret quelques années, tout le monde oublierait les raisons pour lesquelles la FTC a prononcé une interdiction non seulement contre l’entreprise, mais contre lui personnellement. »
– Eva Galperin, directrice cybersécurité à l’Electronic Frontier Foundation
Eva Galperin, figure reconnue dans la lutte contre les stalkerware, a salué la fermeté de la FTC. Selon elle, les révélations de 2022 prouvent que Zuckerman « n’a pas tiré les leçons » de ses fautes passées.
Pourquoi cette affaire concerne directement les entrepreneurs tech
En tant que fondateur de startup ou professionnel du digital, vous pourriez vous dire : « Moi, je ne développe pas de stalkerware. » C’est vrai. Mais les leçons de cette histoire vont bien au-delà d’un marché de niche illégal.
Voici quelques points clés à retenir :
- La responsabilité personnelle du dirigeant peut être engagée, même pour des fautes commises via une société.
- Les régulateurs comme la FTC (et bientôt peut-être plus fortement l’Europe avec le DSA ou l’AI Act) surveillent de près les pratiques de collecte et de protection des données.
- Une faille de sécurité massive peut détruire une réputation et entraîner des sanctions à vie.
- Le coût de la conformité (audits, chiffrement, sécurisation des infrastructures) est élevé, mais bien moindre que celui d’une condamnation.
- La confiance des utilisateurs est l’actif le plus précieux d’une entreprise tech ; la perdre est presque irrécupérable.
Dans un monde où l’IA et les données personnelles alimentent la plupart des modèles économiques, ignorer ces signaux serait une erreur stratégique majeure.
Le problème récurrent des failles chez les éditeurs de stalkerware
L’affaire SpyFone n’est malheureusement pas isolée. Selon les suivis réalisés par des médias spécialisés comme TechCrunch, au moins 26 entreprises de stalkerware ont subi des breaches ou laissé des données sensibles exposées au cours des huit dernières années.
Cela révèle un pattern inquiétant : ces sociétés, qui promettent discrétion et sécurité à leurs clients, sont souvent les plus négligentes en matière de cybersécurité. Ironie tragique, elles mettent en danger à la fois les personnes espionnées et leurs propres acheteurs.
Pour les startups légitimes, c’est un contre-exemple parfait : investir dans la sécurité dès le début n’est pas un luxe, c’est une nécessité vitale.
Perspectives pour 2026 : une régulation plus dure à venir ?
Cette décision de la FTC arrive dans un contexte de durcissement global des règles sur la privacy. Aux États-Unis, plusieurs États adoptent des lois plus strictes. En Europe, le RGPD continue d’être appliqué avec sévérité, et l’AI Act pourrait bientôt encadrer les outils de surveillance automatisés.
Pour les entrepreneurs, cela signifie :
- Anticiper les exigences de conformité dès la phase MVP.
- Intégrer des experts en privacy by design dans les équipes produit.
- Privilégier des partenaires cloud et des outils certifiés (SOC 2, ISO 27001, etc.).
- Mettre en place des processus d’audit réguliers, même pour une petite structure.
Les investisseurs, eux, scrutent de plus en plus ces aspects lors des due diligence. Une startup solide sur la privacy a toutes les chances de se démarquer.
Conclusion : la privacy comme avantage compétitif
L’affaire Scott Zuckerman et SpyFone nous rappelle brutalement que la technologie peut être utilisée pour le pire comme pour le meilleur. En refusant de lever l’interdiction, la FTC protège non seulement les victimes potentielles, mais renforce aussi les standards éthiques de toute l’industrie tech.
Pour vous, entrepreneur, marketeur ou passionné de tech, c’est l’occasion de transformer une contrainte réglementaire en véritable atout. Une application ou un service qui met la protection des données au cœur de son ADN gagne la confiance des utilisateurs – et cette confiance se traduit directement en croissance durable.
Dans un marché saturé, la privacy n’est plus un coût : c’est un différenciateur puissant. Et comme cette décision le montre, ceux qui choisissent de l’ignorer le paient très cher.
(Article basé sur des informations publiques relayées notamment par TechCrunch en décembre 2025.)
