Vols de photos et de mots de passe : les failles des applications de transfert de données exposent les secrets de votre téléphone

Des chercheurs de l'Université de technologie de Graz en Autriche ont révélé des failles de sécurité généralisées dans les applications utilisées pour transférer des données sur les smartphones Android.

Les chercheurs ont indiqué que ces vulnérabilités touchaient les applications de transfert fournies par sept grands fabricants de téléphones sous Android, à savoir Google, Samsung, Xiaomi, Oppo, Vivo, Huawei et Honor, ce qui rend le problème massif compte tenu de la diffusion mondiale des appareils de ces marques.

L'équipe de recherche, composée d'experts de l'Institut de sécurité informatique de l'Université de Graz et du Centre autrichien pour les technologies de l'information sécurisées, a expliqué que les attaquants pouvaient exploiter certaines de ces failles simplement en se trouvant à portée du réseau Wi-Fi utilisé lors du transfert de données, sans nécessiter un accès physique au téléphone.

Serveurs externes

La gravité de ces failles réside dans le fait qu'elles ciblent l'une des opérations les plus sensibles de l'utilisation des smartphones : le passage à un nouvel appareil implique le transfert de photos, de messages, de contacts, d'applications et de paramètres personnels, ainsi que parfois des identifiants de connexion et des informations médicales stockées sur l'ancien téléphone.

Les outils de transfert de données, parfois appelés applications de clonage de téléphone, reposent sur la création d'une connexion sans fil directe entre les deux appareils, permettant le transfert d'informations sans avoir recours à des serveurs externes. Malgré la rapidité et la simplicité de cette méthode, les résultats ont montré que la connexion directe ne garantit pas à elle seule la protection des données contre l'interception.

Les chercheurs ont testé sept applications, dont Android Switch de Google, Smart Switch de Samsung, Mi Mover de Xiaomi, Clone Phone d'Oppo, EasyShare de Vivo, Phone Clone de Huawei et Device Clone de Honor, et ont découvert des faiblesses de sécurité dans tous les outils examinés.

Les expériences ont démontré la possibilité d'intercepter les informations échangées entre les deux téléphones à une distance comprise entre 20 et 45 mètres à l'intérieur des bâtiments, une portée qui pourrait permettre à une personne présente dans un magasin voisin ou une pièce proche d'espionner le processus de transfert sans que l'utilisateur ne remarque sa présence.

Fait notable, la réalisation des attaques expérimentales n'a pas nécessité d'équipements sophistiqués, les chercheurs ayant utilisé du matériel coûtant moins de 100 euros, ce qui suggère que l'exploitation des failles ne se limite pas nécessairement aux entités disposant de ressources techniques ou financières importantes.

Lors des tests, l'équipe a pu accéder aux messages texte, aux journaux d'appels, aux contacts et aux photos, ainsi qu'à des informations plus sensibles, incluant les données de santé, les mots de passe des applications et les identifiants des réseaux Wi-Fi enregistrés sur les téléphones.

Le problème ne se limitait pas à l'espionnage et au vol d'informations, car la recherche a également révélé la possibilité d'injecter des logiciels malveillants dans certains cas pendant le processus de migration, en manipulant les paquets d'applications transférés, ce qui pourrait compromettre le nouveau téléphone dès sa phase initiale de configuration.

L'équipe a mis en garde contre le fait que les magasins de téléphones et les centres de vente d'électronique pourraient être parmi les lieux les plus exposés à ces risques, étant donné la fréquence des opérations de transfert de données qui y sont effectuées et la concentration élevée d'appareils et d'utilisateurs dans des espaces restreints.

Failles de sécurité

Florian Draschlbaucher, co-auteur de l'étude et chercheur à l'Institut de sécurité informatique de l'Université de Graz, a déclaré que la large diffusion de ces applications, leur préinstallation sur les téléphones et leur facilité d'utilisation rendaient l'impact potentiel des failles considérable.

Les chercheurs ont souligné que les applications analysées avaient dépassé un total cumulé de 12 milliards de téléchargements, beaucoup d'entre elles étant préinstallées sur les appareils Android, ce qui reflète l'ampleur de la propagation des outils affectés, sans toutefois signifier que ce nombre d'utilisateurs ait été compromis.

Ces résultats ont été présentés lors de la Conférence européenne sur la recherche en sécurité informatique et de l'information à Rome, révélant des failles de sécurité dont cinq ont été classées comme hautement critiques.

Les scientifiques ont informé les sept entreprises des résultats de l'examen avant leur publication, conformément au mécanisme de divulgation responsable des vulnérabilités, qui offre aux développeurs la possibilité de corriger les problèmes de sécurité avant la diffusion des détails.

Les chercheurs ont confirmé que les sept sociétés avaient déjà publié des mises à jour de sécurité pour corriger les failles détectées, ce qui signifie que les résultats ne prouvent pas la persistance de la vulnérabilité de toutes les versions actuelles des applications.

Ils ont conseillé aux utilisateurs de smartphones de s'assurer que les applications de transfert de données sont bien à jour sur l'ancien et le nouveau téléphone avant de commencer la migration, notant que certaines corrections peuvent nécessiter une mise à jour complète du système d'exploitation.

Ces résultats mettent en lumière des risques de sécurité que les utilisateurs pourraient négliger lors du changement de téléphone, confirmant que le recours aux applications officielles ne suffit pas à garantir la protection des informations personnelles si celles-ci ne sont pas dotées des dernières mises à jour de sécurité.