76 applications populaires pour iPhone exposées aux interceptions de données

publié par Laboratoires Antivirus Bitdefender, le 10 février 2017

« Lorsque les gens me demandent quel smartphone acheter du point de vue de la sécurité, je leur recommande tout le temps un iPhone. », déclare Graham Cluley, analyste indépendant en cybersécurité.

 

 

Les attaques de malwares observées contre des appareils iOS ont le plus souvent été des campagnes sophistiquées, commanditées par des États et dirigées contre des cibles à haut risque. La mainmise d’Apple sur la sécurité d’iOS n’est peut-être pas du gout de tout le monde, mais lorsqu’on pense au nombre considérable de malwares et d’adwares qui sont conçus pour les appareils Android, il n’y a aucune comparaison possible.

 

De plus, il ne fait aucun doute qu’Apple, en fournissant aux utilisateurs d’iPhone et d’iPad les dernières mises à jour de sécurité pour leurs systèmes d’exploitation, a obtenu de bien meilleurs résultats que bon nombre de constructeurs Android – dont certains ont laissé les appareils de leurs utilisateurs fonctionner avec des logiciels totalement obsolètes et présentant des risques.

 

Mais les malwares et les vulnérabilités des systèmes d’exploitation ne sont pas les seuls paramètres à prendre en compte.

En vérité, la principale menace qui peut apparaitre n’est pas tant le risque de tomber sur un malware ou la non-installation des correctifs de sécurité nécessaires au système d’exploitation, mais plutôt les applications tierces installées sur vos appareils.

Après tout, savez-vous ce que font « réellement » vos applications ? Ou à quel point elles assurent la confidentialité et la sécurité de vos informations sensibles ?

 

Une nouvelle étude a décelé des applications pour iOS présentant des failles, qui protègent mal les informations des utilisateurs et qui pourraient faciliter la tâche aux pirates désirant intercepter et dérober des données.

 

Le chercheur en sécurité Will Strafach affirme avoir été en mesure d’identifier 76 applications populaires disponibles sur l’App Store qui n’ont pas recours au protocole TLS (Transport Layer Security) et qui potentiellement permettent à un hacker d’exécuter une attaque de type Man-in-the-Middle (HDM) sans éveiller de soupçons, volant ou manipulant des données au moment où celles-ci sont envoyées à partir de l’appareil mobile ou reçues sur ce dernier.

 

« Ce type d’attaque peut être mené par toute personne se trouvant dans la zone de couverture du réseau Wi-Fi de votre appareil lorsque vous l’utilisez. Cela peut se produire n’importe où dans l’espace public, et même lorsque vous êtes à votre domicile si un attaquant est dans un périmètre proche. »

« Aucun correctif n’est à espérer de la part d’Apple, car si la firme contournait cette fonctionnalité pour des raisons de sécurité, cela rendrait en réalité certaines applications iOS moins sûres puisqu’elles ne pourraient plus réaliser d’attestation des certificats pour leurs connexions et se trouveraient par ailleurs dans l’impossibilité de faire confiance à d’autres certificats non reconnus, pouvant être requis pour des connexions Intranet au sein d’une entreprise. Par conséquent, c’est aux développeurs de veiller à ce que leurs applications ne soient pas vulnérables. »

 

Will Strafach, qui travaille pour le Sudo Security Group, indique que les applications concernées ont totalisé plus de 18 millions de téléchargements.

Sur la liste de Will Strafach figurent un certain nombre d’applications qu’il classe dans la catégorie « peu risquées », bien qu’il soit possible d’intercepter leurs données. Ces applications, dont certaines peuvent laisser filtrer des noms d’utilisateurs et des mots de passe, des données de géolocalisation et même de saisie clavier, incluent :

 

Toutefois, il semblerait que les applications dites « peu risquées » et découvertes par Will Strafach ne soient que la partie émergée de l’iceberg.

Le chercheur a refusé de publier des informations relatives aux autres applications considérées comme « moyennement risquées » ou « très risquées », dans la mesure où il affirme être en train de contacter les banques, les prestataires médicaux et les autres développeurs affectés afin de faire corriger les applications vulnérables (un délai de divulgation raisonnable étant de deux ou trois mois).

 

Si la nouvelle vous préoccupe, gardez à l’esprit que le risque que vos données soient interceptées est grandement diminué si vous favorisez l’utilisation d’une connexion cellulaire (qui nécessite pour un pirate le déploiement d’un matériel informatique spécialisé et coûteux) plutôt qu’une connexion en Wi-Fi.

Laboratoires Antivirus Bitdefender

Nous protégeons vos ordinateurs, tablettes et smartphones. Parce que les menaces actuelles sont loin d’être virtuelles et sont de plus en plus virulentes, nous mettons toute notre expertise à votre service pour protéger vos informations.