Un marché ouvert est une bonne chose car tout le monde peut y vendre quelque chose. On y trouve aussi une grande variété de produits et chacun peut choisir ce qui lui plaît. Cependant, la qualité n'est pas toujours au rendez-vous, et malheureusement, c’est au consommateur de faire attention au rapport qualité-prix. Si cela est plus ou moins facile lorsque l’on fait ses courses au supermarché, cela devient très compliqué quand il s'agit de choisir une application pour son smartphone sur le marché des applications. D’ailleurs, les personnes malveillantes en profitent.
En général, il suffit de se rendre sur Google Play ou l'App Store d'Apple, de sélectionner et d'installer l'application de son choix. Il n'y a rien de plus facile. Mais comment s'assurer que l'application ne fait pas plus que ce pour quoi elle a été conçue ? Une étude récente menée sur les appareils de près de 700 millions de clients de 31 opérateurs de réseaux mobiles, dans 20 pays, a montré qu'environ 6 % des appareils analysés étaient infectés. Étant donné que 75 % à 85 % environ des smartphones vendus dans le monde fonctionnement sous Android, ils font clairement l'objet d'attaques ciblées. Plus de 98 000 applications malveillantes ont ainsi été détectées, dont 51 % sont disponibles sur Google Play, les autres ne pouvant être téléchargées que par l’intermédiaire de sites marchands tiers. Grâce aux efforts de Google (avec Google Protect et App Defense Alliance), 18 % de ces applications ont été supprimées.
Les 32 % d’applications restantes, lorsqu’elles sont installées, permettent de pirater votre téléphone. En haut de la liste figurent les logiciels malveillants qui servent à la fraude publicitaire, notamment en téléchargeant des publicités cachées, en générant automatiquement des clics sur certaines publicités (les dénommés « robots cliqueurs », tels que le clavier Emoji ou Snaptube), ou en vous incitant à cliquer dessus à votre insu (détournement de clic - Click Jackers). Les logiciels malveillants utilisent diverses techniques pour éviter d'être repérés par les annonceurs. En effet, chaque clic génère des revenus pour la société propriétaire de l'application, entraînant ainsi une perte de plusieurs millions de dollars pour l'annonceur. D'autres logiciels malveillants détournent les ressources du processeur de votre smartphone pour générer de la crypto-monnaie (« minage de bitcoin »), effectuent de faux appels vers des numéros de téléphone coûteux ou envoient des SMS surtaxés à vos frais (« fraude à l'abonnement »). En fait, il existe une industrie de type mafieux qui consiste à vendre les ressources de votre smartphone au plus offrant.
Une fois de plus, le salut de votre smartphone est entre vos mains. Ainsi, veillez à toujours le garder à jour en ayant la version la plus récente de votre système d'exploitation ; si ce n'est pas possible parce que votre smartphone est trop vieux et n'est plus pris en charge, envisagez de le remplacer. La meilleure des protections lorsque l’on télécharge une application est de « S'ARRÊTER – RÉFLÉCHIR – NE PAS CLIQUER », ou, dans le cas d’un smartphone, « Ne pas installer » ! Un nombre élevé de téléchargements ne signifie PAS pour autant que l'application est fiable. Ainsi, lisez d'abord les commentaires sur l'application qui vous intéresse. Soyez particulièrement vigilant lorsque vous installez des applications provenant de sites marchands tiers. En effet, les mécanismes de sécurité mis en place par ces sites pour éviter une utilisation illégale peuvent être insuffisants. Il est donc préférable de s'abstenir de télécharger des applications dont vous n'avez pas vraiment besoin, et qui sont produites par de (petites) entreprises inconnues. Nous avons récemment abordé cette question à propos d'applications VPN malveillantes (voir notre article du Bulletin intitulé, « Sécurité informatique : VPN = danger ! »). Enfin, il convient de vérifier régulièrement vos paramètres de confidentialité : l'accès à votre caméra, votre microphone, votre localisation, et vos contacts devrait être réservé aux seules applications qui en ont besoin. En effet, certaines applications peuvent les réinitialiser lorsqu'elles sont mises à jour.
______
Pour en savoir plus sur les incidents et les problèmes en matière de sécurité informatique au CERN, lisez notre rapport mensuel (en anglais uniquement). Si vous désirez avoir plus d’informations, poser des questions ou obtenir de l’aide, visitez notre site ou contactez-nous à l’adresse Computer.Security@cern.ch.