Les applications Baidu font fuiter vos données sensibles

Plusieurs applications mobiles Android trouvées dans Google Play, y compris Baidu Search Box et Baidu Maps, partagent vos données sensibles et pourraient être utilisées pour traquer les utilisateurs, même s’ils changent d’appareil.

Les applications ont chacune été téléchargées des millions de fois, selon les chercheurs de Palo Alto Unit 42. Ils ont été supprimés de Google Play, mais toute personne disposant de l’une des applications incriminées est toujours en danger.

Les chercheurs ont découvert que les applications Baidu en question exposaient une gamme d’informations, notamment: le modèle de téléphone; résolution d’écran; adresse MAC du téléphone; opérateur sans fil; réseau (Wi-Fi, 2G, 3G, 4G, 5G); Identifiant Android; Identité internationale de l’abonné mobile (IMSI) et l’identité internationale de l’équipement mobile (IMEI).

Baidu

Les cybercriminels peuvent à leur tour utiliser une variété d’outils de sniffing – tels que des capteurs IMSI actifs et passifs – pour «entendre» les informations des utilisateurs de téléphones portables.

« Bien que certaines de ces informations, telles que la résolution de l’écran, soient plutôt inoffensives, des données telles que l’IMSI peuvent être utilisées pour identifier et traquer de manière unique un utilisateur », ont déclaré les chercheurs de Palo Alto Networks Unit 42, dans une publication.

L’IMEI est un identifiant unique de l’appareil physique et indique des informations telles que la date de fabrication et les spécifications matérielles. L’IMSI, quant à lui, identifie de manière unique un abonné à un réseau cellulaire et est généralement associé à la carte SIM d’un téléphone, qui peut être transférée entre les appareils. Les deux identifiants peuvent être utilisés pour traquer et localiser les utilisateurs au sein d’un réseau cellulaire.

Pour cette raison, les applications Android qui collectent de telles données peuvent suivre les utilisateurs pendant la durée de vie de plusieurs appareils, ont averti les chercheurs.

« Par exemple, si un utilisateur change sa carte SIM sur un nouveau téléphone et installe une application qui a précédemment collecté et transmis le numéro IMSI, le développeur de l’application est en mesure d’identifier de manière unique cet utilisateur », selon la publication.

En plus de traquer les utilisateurs sur tous les appareils, les attaquants pourraient causer d’autres ravages, ont déclaré les chercheurs; par exemple, ils peuvent utiliser le numéro IMEI du téléphone pour signaler un téléphone comme volé, ce qui incite un opérateur à bloquer son accès au réseau. Et les attaquants pourraient profiter des informations divulguées pour intercepter les appels téléphoniques ou les SMS.

Les applications Baidu concernées

Les chercheurs ont trouvé plusieurs applications Android qui ont permis de telles fuites de données. Les deux plus grandes applications découvertes étaient Baidu Search Box et Baidu Maps (Baidu est une société Internet basée en Chine qui est très similaire à Google). Google a pris des mesures et une version bénigne de Baidu Search Box est devenue disponible sur Google Play dans le monde entier le 19 novembre, tandis que Baidu Maps reste indisponible dans le monde.

google play store

Une autre application concernée et disponible sur Google Play aux États-Unis est Homestyler – une application de décoration intérieure qui, selon les chercheurs, n’a pas été supprimée. Et, les chercheurs ont signalé un SDK Android connu sous le nom de ShareSDK, du fournisseur chinois MobTech.

«ShareSDK prend en charge plus de 40 plates-formes de réseaux sociaux», selon l’Unité 42. «Il aide les développeurs d’applications tierces à accéder facilement au partage et à l’enregistrement des réseaux sociaux. Il leur permet également d’acquérir des informations sur les utilisateurs, des listes d’amis et d’autres fonctions sociales. Actuellement, ShareSDK offre des services pour plus de 37 500 applications et est devenue la plus grande plate-forme de services de développement de Chine. « 

Les fuites de données depuis les applications Android et les SDK représentent une grave violation de la vie privée des utilisateurs, bien que les développeurs ne réalisent souvent pas que leurs applications sont en danger, ont noté les chercheurs.

« Bien qu’il ne s’agisse pas d’une violation définitive de la politique de Google pour les applications Android, la collecte d’identifiants, tels que l’adresse IMSI ou MAC, est déconseillée dans le guide des meilleures pratiques d’Android », ont expliqué les chercheurs. « Pour éviter les fuites de données, les développeurs d’applications Android doivent suivre le guide des bonnes pratiques d’Android et gérer correctement les données des utilisateurs. Les utilisateurs d’Android doivent rester informés des autorisations requises demandées par les applications sur leurs appareils. »

Un rapport d’avril 2019 a révélé que des millions d’applications divulguent des informations personnellement identifiables (PII) telles que le nom, l’âge, le revenu et peut-être même les numéros de téléphone et les adresses e-mail. Les développeurs d’applications qui ne protègent pas les données de ciblage publicitaire transmises aux annonceurs tiers sont en faute.

«Il a été constaté que les magasins d’applications proposent des applications malveillantes, ainsi que des applications légitimes qui collectent des informations sur les utilisateurs sans le consentement de l’utilisateur», a déclaré Usman Rahim, analyste des menaces numériques chez The Media Trust. «Comme les appareils IoT, les applications sont trop souvent développées sans avoir à l’esprit la sécurité et la confidentialité. Les applications gratuites contenant des publicités sont particulièrement vulnérables aux attaques. »

Si cet article vous a plu, jetez un œil à notre article précédent.

S’abonner
Notifier de
guest
0 Commentaires
Annotations
Voir tout les commentaires
0
Nous aimerions connaître votre avis, laissez un commentaire.x
()
x