Kastoo
Quand vous ajoutez une liste à un lecteur IPTV, vous lui donnez votre identifiant et votre mot de passe chez votre fournisseur : ils sont dans l’URL M3U ou dans les données Xtream Codes. Des rumeurs parlent de lecteurs qui gardent ces comptes pour les revendre. Nous n’avons trouvé aucune preuve publique contre une appli connue, mais il existe des risques réels et documentés. Voici lesquels, et comment vous protéger.
Ce que contient votre liste
Une URL M3U typique ressemble à ceci : http://serveur:port/get.php?username=IDENTIFIANT&password=MOTDEPASSE&type=m3u_plus. Quiconque possède cette adresse peut voir la même chose que vous, depuis n’importe quel appareil. Traitez-la comme un mot de passe : ne la collez pas sur des forums et ne l’envoyez pas en capture d’écran.
Ce que le lecteur en fait
Cela dépend du fonctionnement de l’appli :
- Elle reste sur l’appareil. Vous saisissez la liste sur la TV ou le téléphone et elle n’en sort pas, sauf pour se connecter à votre fournisseur.
- Elle est stockée sur le serveur de l’appli. Beaucoup d’applis de Smart TV s’activent avec l’adresse MAC du téléviseur et vous demandent d’envoyer la liste sur leur site, qui la transmet ensuite à la TV. C’est un système légitime et pratique, mais cela signifie que votre identifiant et votre mot de passe sont sur le serveur de cette entreprise, et vous devez lui faire confiance.
Aucun des deux n’est mauvais en soi. L’important est de savoir lequel votre appli utilise, qui est derrière et si vous pouvez supprimer la liste quand vous le souhaitez.
Le vrai risque : les fausses applis
Les cas documentés ne concernent pas des lecteurs connus, mais de fausses applis qui se font passer pour des applis IPTV afin de voler bien plus que votre liste :
- Massiv (février 2026). La société de sécurité ThreatFabric a découvert ce cheval de Troie caché dans de prétendues applis IPTV installées en dehors de Google Play. Il enregistrait l’écran et affichait de faux écrans par-dessus les applis bancaires. L’Espagne figurait parmi les pays touchés.
- RemControl (septembre 2026). Selon BleepingComputer, elle était annoncée sur les réseaux sociaux comme une appli TV connue et menait à un site imitant Google Play. Elle volait les identifiants bancaires et le schéma de déverrouillage, et empêchait la désinstallation.
- La Guardia Civil espagnole a averti en septembre 2026 que certaines applis IPTV promettant des chaînes gratuites contiennent des programmes qui vident les comptes bancaires.
Les signes que quelqu’un utilise votre compte
- Vous voyez « trop de connexions » ou l’erreur 509 alors que vous êtes seul à regarder. Voir ce que signifie l’erreur 509.
- Les chaînes coupent alors que personne d’autre ne regarde à la maison.
- Votre fournisseur vous prévient que le compte est utilisé depuis un autre pays ou de nombreux endroits.
Si cela arrive, demandez à votre fournisseur de changer le mot de passe du compte et ajoutez la nouvelle liste uniquement dans les applis de confiance.
Comment vous protéger
- Installez uniquement depuis des sources officiellesGoogle Play, l’App Store, la boutique de votre TV ou le site du développeur. Méfiez-vous des liens publicitaires, des groupes de messagerie ou des sites qui imitent une boutique.
- Vérifiez le nom du développeurIl existe beaucoup de copies aux noms presque identiques à ceux d’applis connues. Regardez qui la publie et depuis quand.
- Lisez quelles données elle conserveUne appli sérieuse explique dans sa politique de confidentialité si elle stocke votre liste sur son serveur, pourquoi et comment la supprimer.
- Vérifiez les autorisationsUn lecteur n’a pas besoin de lire vos SMS, d’être un « service d’accessibilité » ni de contrôler d’autres applis. S’il le demande, désinstallez-le.
- Ne partagez pas l’URLNi en capture d’écran ni sur des forums. Si c’est déjà fait, demandez un nouveau mot de passe.
- Supprimez la liste des applis que vous n’utilisez plusSurtout des sites d’activation par MAC.
Ce que Kastoo fait de votre liste
Pour être clairs sur ce que nous demandons aux autres : quand vous ajoutez la liste depuis le téléphone avec le QR code, Kastoo la stocke sur son serveur pour l’envoyer à votre TV et, si vous l’activez, pour la sauvegarde dans le cloud. Elle ne sert qu’à cela et à demander à votre fournisseur l’état de votre abonnement quand vous appuyez sur « Vérifier ». Nous ne la vendons pas, ne la partageons pas, et il n’y a pas de publicité. Vous pouvez supprimer vos listes depuis Mon Kastoo à tout moment. Tout est dans la politique de confidentialité.
Questions fréquentes
Est-il vrai que certains lecteurs revendent les listes ?
C’est une rumeur fréquente, mais nous n’avons trouvé aucune enquête sérieuse le prouvant contre une appli connue. Ce qui est documenté, ce sont les fausses applis qui volent des données, surtout bancaires.
Un lecteur gratuit est-il plus ou moins sûr qu’un payant ?
Le prix ne dit pas tout. Ce qui compte davantage : qui le publie, d’où vous l’installez et ce que dit sa politique de confidentialité.
Dois-je changer le mot de passe de ma liste de temps en temps ?
Pas si vous ne l’utilisez que dans des applis de confiance. Oui si vous soupçonnez quelqu’un d’autre de l’utiliser ou si vous l’avez partagée.
Comment savoir si mon boîtier TV contient un logiciel malveillant ?
Certains boîtiers TV bon marché sont infectés dès l’usine. Nous l’expliquons dans BadBox : le malware des boîtiers TV bon marché.
Sources
- Massiv : cheval de Troie dans de fausses applis IPTV (ThreatFabric) · The Hacker News
- RemControl : fausse appli IPTV qui vole les identifiants bancaires · BleepingComputer
- Alerte de la Guardia Civil sur les applis IPTV · El Output
Gratuit pendant 15 jours avec toutes les fonctionnalités, sans carte bancaire. Une licence est valable pour 3 appareils.
Kastoo est uniquement un lecteur : il ne vend, n’héberge ni n’inclut de listes, de chaînes, de films ou d’abonnements. Les captures utilisent une liste de démonstration au contenu libre.