Fausses apps fomo et usurpations : ce qui est confirmé et ce qui ne l'est pas

Si tu arrives ici en cherchant une arnaque fomo app à cause des titres sur le malware de septembre 2026, commence par une correction. Ces titres ne parlaient pas d’une fausse app fomo.

L’app de cette histoire était FomoPeek, un outil de suivi des gros portefeuilles qui a livré du malware dans ses propres versions, via son propre compte développeur. SlowMist, la société de sécurité qui a publié l’analyse le 19 septembre 2026 aux côtés de l’équipe sécurité d’OKX, dit que ce n’était pas une app contrefaite. La collision de nom avec fomo est la seule raison pour laquelle elle a fini sur des listes de fausses apps fomo.

De vraies usurpations de fomo existent. Trois ont été documentées, et la plus récente compte le plus, parce que la victime n’a rien fait de ce que les conseils de sécurité crypto habituels te disent d’éviter.

Ce qu’était vraiment l’histoire FomoPeek

FomoPeek était un vrai produit avec de vrais utilisateurs. Sa version 1.1, publiée le 9 septembre 2026, embarquait des modules malveillants. Idem pour la version 1.2 du 12 septembre. La version 1.3, du 17 septembre, les a retirés. SlowMist et OKX ont publié l’analyse le 19 septembre, et la société Salus a pisté les fonds : environ 579 984 USDT, soit à peu près 580 000 $, ont atteint l’adresse principale de l’attaquant.

Lis ce chiffre attentivement, parce que presque chaque article qui le reprend le comprend mal. C’est l’entrée sur une adresse. Ce n’est pas un total audité de ce que les victimes ont perdu, et personne n’en a publié un.

Cette page ne nomme ni le développeur de FomoPeek ni l’id de son app. Les seuls endroits où ils apparaissent sont des posts d’affiliation et des sites miroirs de fichiers IPA, ce qui n’est pas un standard digne d’être atteint sur une page qui parle de ne pas installer la mauvaise chose.

FomoPeek a donc sa place dans ta liste de lectures comme raison de se méfier d’une app que tu as déjà installée. Sa place n’est pas dans une liste de contrefaçons de fomo.

Les deux faux sites fomo recensés

Les deux ont été documentés par PCrisk, et les deux ont suivi la même forme : copier le site, remplacer un bouton, vider le wallet qui se connecte.

claim-fomo.family, mai 2025

Documenté le 9 mai 2025. Il imitait le site officiel et annonçait un événement pour les utilisateurs éligibles. Un bouton de vérification d’éligibilité déclenchait une connexion de wallet, et approuver cette demande signait un contrat drainant qui allait chercher les actifs les plus précieux à sa portée.

PCrisk dit clairement qu’aucun événement fomo de ce genre n’existe et que la vraie plateforme n’a pas de token natif. C’est ce deuxième détail qu’il faut garder. fomo n’a pas de token, donc une page d’airdrop, une page de réclamation ou un vérificateur d’éligibilité est une page de phishing avant même que tu lises le domaine.

fomoo.family, juillet 2026

Documenté le 16 juillet 2026 par le chercheur Tomas Meskauskas. Une copie du site avec une lettre doublée dans le domaine et un seul changement fonctionnel : le bouton de téléchargement remplacé par un bouton de connexion de wallet proposant MetaMask, Trust Wallet et OKX Wallet. Approuver la connexion déclenchait un drainage.

Ce cas repose sur un seul rapport, et le site serait hors ligne. Aucun chiffre de perte n’a jamais été publié. Si tu en vois un cité, il a été inventé.

L’attaque qui devrait changer ta liste de vérification

Vers le 8 octobre 2026, SlowMist a documenté le vol d’environ 48 000 $ chez un seul utilisateur web de fomo. Le chemin mérite d’être parcouru lentement.

L’utilisateur était sur l’app web de fomo et a cliqué sur le lien de projet d’un token, qui l’a emmené sur voltage.family. Cette page lançait une fausse étape de vérification humaine, du genre qui te demande de prouver que tu n’es pas un robot. Au lieu d’un casse-tête, elle lui a dit de glisser une icône dans la barre de favoris de son navigateur et de cliquer dessus.

Cette icône était un bookmarklet, un favori qui exécute du JavaScript sur la page que tu consultes. Cliqué sur l’app web de fomo, il a lu le stockage du navigateur et renvoyé les jetons d’accès et de rafraîchissement Privy de l’utilisateur, les données IndexedDB et les données du wallet. Avec un jeton de session valide, l’attaquant n’a eu besoin ni du mot de passe du compte ni de rien d’autre.

Maintenant la partie qui compte. La victime n’a jamais connecté de wallet. Elle n’a jamais signé de transaction. Elle n’a jamais tapé de phrase de récupération, et n’aurait pas pu, parce que les wallets fomo sont bâtis sur Privy et n’ont pas de phrase à taper. Elle s’était connectée avec Google et n’y avait pas activé la double authentification.

Chaque conseil que tu as lu sur la sécurité des memecoins aurait laissé cette personne exactement aussi exposée. « Ne partage jamais ta phrase de récupération » est juste et inutile ici. L’identifiant volé était une session active.

Les recommandations de SlowMist après ce cas sont assez courtes pour être retenues. Une vraie vérification ne te demande jamais de glisser quoi que ce soit dans ta barre de favoris. Passe en revue les favoris que tu as, parce qu’un favori que tu n’as pas créé est à lui seul un signal d’alarme. Active l’authentification multifacteur sur le compte avec lequel tu te connectes. Et si tu as déjà exécuté quelque chose de suspect, révoque tes sessions depuis un appareil de confiance plutôt que depuis celui qui l’a exécuté.

La liste de vérification pour laquelle cette page existe

Voici les propriétés que fomo publie. Tout le reste qui revendique ce nom appartient à quelqu’un d’autre.

Quoi	La vraie
App iOS	fomo - never miss out, id App Store 6741115427, vendeur FOMO Labs Inc.
Paquet Android	family.fomo.app
Site web	fomo.family
X	x.com/fomo
Discord	discord.gg/fomofamily
Instagram	instagram.com/tryfomo
E-mail de support	support@fomo.family, nommé dans les conditions d’utilisation

La page de téléchargement de fomo app a les deux fiches de boutique en liens, ce qui est une route plus sûre que chercher dans la boutique et choisir à l’icône.

Des choses qui ne sont pas fomo et qu’on confond sans arrêt avec elle : le compte X @fomo_lab, qui est un projet NFT sans lien ; fomo.io, qui est une autre société sans rapport avec FOMO Labs ; l’app Shopify appelée Fomo, qui vend des widgets de notification pour boutiques depuis 2015 ; et plusieurs apps App Store sans lien qui utilisent le mot FOMO. fomo ne liste non plus aucun canal Telegram où que ce soit, donc un compte Telegram proposant du support fomo n’est pas du support fomo. La page pannes et support garde la liste de contacts à jour au même endroit.

Le nom de l’éditeur est le signe

Les affaires de fausses apps de 2026 qui ont fait de vrais dégâts partagent une faiblesse, et ce n’est ni l’icône ni les captures d’écran.

Un faux Ledger Live sur le Mac App Store a pris environ 9,5 millions de dollars à une cinquantaine d’utilisateurs en avril 2026. Il était publié sous le nom Leva Heal Limited, une société sans aucun lien avec Ledger. Une fausse fiche Sparrow Wallet sur iOS a pris environ 1,8 million de dollars et a provoqué une plainte déposée le 24 juillet 2026. Le vrai Sparrow est un logiciel de bureau et n’a aucune app iOS, donc cette fiche ne pouvait qu’être fausse. La recherche FakeWallet de Kaspersky d’avril 2026 a compté 26 apps App Store imitant Trust Wallet, MetaMask, Ledger et d’autres.

Dans chaque cas le nom de l’app avait l’air bon. La ligne de l’éditeur non.

D’où deux habitudes. Lis le champ vendeur ou développeur, pas le titre, avant d’installer. Et vérifie-le plus d’une fois, parce que la version 1.0 de FomoPeek était propre et la 1.1 non. Relis l’éditeur quand tu réinstalles, quand tu configures un nouveau téléphone, et chaque fois qu’un lien dans un chat ou une réponse te dépose sur une page de boutique.

fomo ne dit rien de tout ça

Le 11 octobre 2026, aucun avertissement sur l’usurpation ou le phishing n’a pu être trouvé sur fomo.family ni sur son blog. Le seul post de sécurité qui s’y trouve est Spotting Scams and Low-Quality Tokens du 25 décembre 2025, et celui-là parle de tokens frauduleux tradés sur fomo, pas de contrefaçons de fomo.

C’est un trou, pas une accusation. Beaucoup d’apps laissent ça aux sociétés de sécurité. Ça veut quand même dire que si tu vérifies si quelque chose est réel, le site de fomo ne t’aidera pas beaucoup, et qu’une page comme celle-ci ou l’analyse fomo app est-elle fiable font un travail que l’entreprise n’a pas fait. Si tu veux le côté registre du commerce, qui est derrière fomo app a les dépôts et la piste du financement.

Si tu penses avoir déjà cliqué

Travaille dans cet ordre, depuis un appareil que tu n’as pas utilisé sur la page suspecte.

1. Déconnecte toutes les sessions et révoque-les, puis reconnecte-toi.
2. Change le mot de passe de l’adresse e-mail ou du compte Google avec lequel tu te connectes à fomo, et active la double authentification là-bas. Sans phrase de récupération dans le tableau, cet identifiant est la porte d’entrée.
3. Supprime tout favori que tu n’as pas créé toi-même.
4. Déplace les fonds que tu ne peux pas perdre vers un wallet dont tu détiens les clés.
5. Écris à support@fomo.family avec les heures et les hashes de transaction, et poste sur le Discord. Rien de tout ça ne garantit une récupération, et les transferts onchain ne s’annulent pas.

Une dernière chose qui vaut d’être séparée. Une fausse app et un mauvais token sont deux problèmes différents avec la même fin, et la majeure partie de l’argent perdu sur des apps comme fomo part vers le second. Si tu cours après des coins nouveaux plutôt que des contrefaçons, le guide des meme coins Solana couvre les honeypots et les pièges de liquidité, et les problèmes de dépôt couvrent les échecs d’alimentation, qui viennent généralement de ta banque plutôt que d’une attaque. Trader des memecoins est de la spéculation à haut risque, pas de l’investissement, la plupart de ceux qui le font perdent de l’argent, et rien sur cette page n’est un conseil financier.