Utrecht, le 18 avril 2018 – Dans le cadre de l’analyse d’applis de rencontres populaires, des chercheurs de Kaspersky Lab ont constaté que certaines de ces applis envoient des données d’utilisateur non cryptées via le protocole HTTP non sécurisé. Par conséquent, ces données risquent d'être exposées à des acteurs malveillants. Cette situation résulte de l'utilisation par ces applications de kits de développement logiciel (SDK) de tiers prêts à l’emploi pour l’affichage de publicités. Les SDK font partie de certains des réseaux publicitaires les plus utilisés. Certaines de ces applis ont été installées des milliards de fois dans le monde entier. Cette grave erreur de sécurité permet d’intercepter, de modifier et d’utiliser les données privées pour d’autres attaques.

Un SDK est donc un ensemble d’outils de développement qui est généralement diffusé à titre gratuit. En appliquant un code tiers, les développeurs de logiciels gagnent beaucoup de temps et peuvent se concentrer sur les éléments clés de leur application et laisser d’autres fonctionnalités à ces SDK prêts à l’emploi. C’est ainsi que les SDK de publicité recueillent des données d’utilisateur pour afficher des publicités pertinentes, ce qui génère à son tour des revenus pour les développeurs. Ces ensembles d’outils envoient des données d’utilisateur aux domaines de réseaux publicitaires populaires afin de mieux cibler les publicités.

Une analyse plus approfondie des applications concernées a toutefois montré que les données sont transmises non codées et via HTTP. Elles sont donc transférées aux serveurs sans la moindre protection. En l’absence de cryptage, les données peuvent en principe être interceptées par n’importe qui, via le Wi-Fi non sécurisé, par le fournisseur d’accès Internet ou à l’aide d’un logiciel malveillant sur un routeur domestique. Mais la situation est encore plus grave : en effet, les données interceptées peuvent également être modifiées, ce qui signifie que l’application peut afficher des publicités nocives plutôt que légitimes. Les utilisateurs seront alors tentés de télécharger une application qui se révélera un logiciel malveillant.

Des chercheurs de Kaspersky Lab ont étudié les journaux de consignation et le trafic réseau d’applications dans le bac à sable interne Android pour découvrir quelles applications envoient des données utilisateur non cryptées aux réseaux via HTTP. Dans le cadre de leur recherche, ils ont identifié un certain nombre de domaines importants, dont la plupart font partie de réseaux publicitaires très prisés. Le nombre d’applications qui appliquent ces SDK s’élève à plusieurs millions, dont la majorité envoie au moins l’une des parties de données suivantes sans cryptage :

· informations à caractère personnel : généralement le nom d’utilisateur, l’âge et le sexe, parfois aussi le revenu de l’utilisateur. Les numéros de téléphone et les adresses électroniques peuvent également faire l’objet de fuites (les gens partagent beaucoup d’informations personnelles sur les applications de rencontre, selon une autre étude de Kaspersky Lab) ;

· informations sur l’appareil telles que la marque, le modèle, la résolution d’affichage, la version du système et le nom de l’appli ;
· emplacement de l’appareil.

« Au début, nous pensions que nous avions affaire à quelques rares cas de conception d’applications négligentes, mais l’ampleur du problème semble être considérable », constate Roman Unuchek, chercheur en sécurité au Kaspersky Lab. « Des millions d’applications contiennent des SDK de tiers, ce qui facilite l’interception et la modification des données à caractère personnel. Cette situation peut déboucher sur des infections par des logiciels malveillants, du chantage et d’autres vecteurs d’attaque très efficaces sur vos appareils. »

Les chercheurs de Kaspersky Lab conseillent aux utilisateurs de prendre les mesures suivantes :

· vérifiez vos autorisations liées à votre appli. Interdisez l’accès à quoi que ce soit si vous ne comprenez pas pourquoi on vous le demande. La plupart des applis n’ont pas besoin d’accéder à votre emplacement, par conséquent, ne le communiquez pas.

· utilisez un VPN pour chiffrer le trafic réseau entre votre appareil et les serveurs. Même si les données restent non cryptées en dehors des serveurs du VPN, il n’en demeure pas moins que le risque de fuite pendant le processus est en tout cas plus faible.