Un malware fait des ravages sur mobile, pourquoi votre iPhone vous sauve la mise ?

Le 21 octobre, deux applications de rencontre ont disparu de l’App Store, après plusieurs avertissements d’Apple, sans que les problèmes pointés du doigt par Cupertino ne soient réglés. Leur nom n’a peut-être jamais croisé votre écran, mais leur fonctionnement a déclenché des débats jusqu’aux États-Unis. Tea Dating Advice et TeaOnHer permettaient à des utilisatrices d’évaluer anonymement leurs rencontres masculines. Apple les a supprimées en invoquant trois règles précises, dont l’interdiction de diffuser des données personnelles sans consentement.

Pendant ce temps, un nouveau rapport publié par la société Zimperium vient de détailler une menace d’un autre genre, liée elle aussi à un magasin d’applications, mais pas celui d’Apple. Sur Android, des centaines d’applications frauduleuses sont parvenues à se faire passer pour des apps bancaires officielles, dont Google Pay, l’équivalent d’Apple Pay.

Une attaque discrète mais redoutable

© Unsplash / Matthew Kwong

Le système repose sur deux fonctions intégrées à Android. La première est la puce NFC, qui permet de payer sans contact en approchant simplement son téléphone d’un terminal, comme avec Apple Pay. L’autre s’appelle HCE, une option qui autorise une application à imiter le comportement d’une carte bancaire physique. Concrètement, cela permet à une fausse app d’envoyer au terminal les mêmes informations qu’une vraie carte, comme si elle était insérée ou approchée. Celles repérées par Zimperium copient par exemple l’apparence de Google Pay, VTB Bank ou Santander. Une fois installées, elles demandent à devenir le service de paiement par défaut de l’utilisateur.

Si vous acceptez, votre téléphone devient alors un relais. Il intercepte les données de carte, puis les transmet en temps réel à un second appareil, situé ailleurs. C’est ce deuxième appareil qui réalise la transaction à votre insu. Vous n’avez rien touché, mais un achat vient d’être validé comme si votre téléphone s’était approché d’un terminal.

Plus de 760 applications frauduleuses ont été identifiées à ce jour. Elles communiquent via des serveurs de commande et des bots Telegram, ce qui permet de coordonner les opérations et de revendre les données. L’interface est conçue pour inspirer confiance, avec logos et mentions officielles. Le but est simple, faire croire à une application légitime, sans éveiller le moindre soupçon.

Pourquoi l’App Store reste une barrière solide

Ce genre de fraude a très peu de chances de se produire sur iPhone. Les règles de l’App Store sont bien plus strictes que sur Android, et il est très difficile pour un développeur d’y publier une application. Chaque nouveauté est vérifiée à la main par les équipes d’Apple, y compris lorsque l’app tente de copier l’apparence d’un service connu. C’est ce contrôle renforcé qui empêche la diffusion de copies frauduleuses d’apps existantes.

Même si l’Union européenne impose désormais à Apple d’ouvrir son système à d’autres magasins d’applications, dans le cadre du Digital Markets Act, l’App Store officiel reste aujourd’hui l’option la plus sûre. Pour limiter les risques, il est conseillé de ne télécharger ses applications que depuis l’App Store, et de rester attentif à chaque app installée, surtout si elle touche aux moyens de paiement.

Les cybercriminels s’adaptent et utilisent des techniques de plus en plus complexes pour détourner les paiements. Le cas documenté par Zimperium montre que le danger est bien réel sur Android. Si vous êtes sur iPhone, l’écosystème mis en place par Apple limite fortement ce genre d’abus. Le système n’est cependant pas toujours infaillible.

Enfin, même si l’App Store reste bien mieux protégé que d’autres plateformes, les menaces évoluent constamment. Certaines parviennent parfois à contourner les filtres, malgré les règles strictes imposées aux développeurs.

i-nfo.fr - App officielle iPhon.fr

Par : Keleops AG

4.3 / 5

734 avis

App Store