LES les données de 100 millions d’utilisateurs ont été exposées en ligne à tout type de violation due à appli ils avaient téléchargé sur leurs smartphones Android. C’est l’alarme des chercheurs de Check Point, qui ont braqué les projecteurs sur un problème connu mais encore peu discuté dans le monde des applications pour smartphone: le paramétrage des serveurs cloud qui les font fonctionner, mais qui échappent à tout type de contrôle par une partie de logiciels antivirus et systèmes d’exploitation.
Erreurs dans les serveurs
Quand on parle de cybersécurité liée au monde des smartphones, on a tendance à penser que les menaces de sécurité proviennent uniquement d’attaques de pirates et de malwares ciblant les appareils, et que pour les contenir, la prudence suffit à installer uniquement des applications de confiance et l’attention à maintenir les appareils à jour. . Mais souvent les données des gens viennent mis en danger par des erreurs graves commises de bonne foi par les développeurs eux-mêmes lors de la configuration des composants de leurs applications qui résident en dehors des téléphones, à savoir i serveur cloud. Ces composants ne sont rien de plus que la destination vers laquelle les applications se dirigent lorsqu’elles doivent obtenir sur Internet les informations qu’elles affichent sur les écrans des téléphones: réel ordinateurs distants, qui en tant que tel doit être configuré pour répondre aux demandes des smartphones des utilisateurs.
Applications affectées
Ce que les chercheurs ont découvert, ce sont des erreurs dans la configuration de ces composants par rapport à 23 applications Android de taille moyenne. Il s’agit notamment de l’application d’astrologie Astro Guru, téléchargée plus de 10 millions de fois; T’Leva, pour la réservation de taxis, téléchargée plus de 50000 fois, et Logo Maker, une application de création de logos, à nouveau téléchargée plus de 10 millions de fois. Chaque application exposée les données sensibles de ses utilisateurs pour diverses raisons. Adresses e-mail et mots de passe, chats privés, emplacements GPS, codes d’identification des utilisateurs et bien plus encore: toutes ces informations ont été stockées en ligne sans protection et à l’insu des développeurs des applications eux-mêmes, et pouvaient être consultées par n’importe qui pour être collectées et fabriquées à partir du matériel de départ pour vol d’identité et autres types d’escroqueries.
L’antivirus n’est pas nécessaire
Ce n’est pas la première fois que nous parlons de la mauvaise configuration des serveurs auxquels se réfèrent les applications que nous utilisons tous les jours – à la fois sur Android et sur iOS. La dernière alarme a été donnée par les chercheurs de Zimperium il y a quelques mois et elle semblait menaçante pour une raison précise: les attaques basées sur ces vulnérabilités ne sont pas des virus et ne visent pas les smartphones, et pour cette raison. ils ne peuvent pas être interceptés par un logiciel antivirus ni par les mesures que des plates-formes telles que le Google Play Store ou l’App Store d’Apple ont mises en place pour détecter les logiciels malveillants. Les développeurs doivent éviter ces catastrophes, et le seul levier pour les motiver à mieux travailler est le comportement des utilisateurs.