Des applications populaires auraient été chargées de tracer pour le compte des États-Unis des utilisateurs basés au Moyen-Orient, en Asie, ainsi qu’en Europe centrale et orientale.
Les cas de cyberattaques se sont accentués ces derniers mois, dans un contexte de guerre qui oppose la Russie et l’Ukraine. Déjà bien avant, les gouvernements faisaient parfois appel à des hackers pour collecter des données sensibles sur certains opposants notamment. Une nouvelle affaire vient à ce titre d’être mise en lumière par le Wall Street Journal.
Le média américain rapporte en effet qu’une quinzaine d’applications auraient potentiellement servi à collecter des données personnelles et sensibles. Pour étayer ses allégations, le WSJ s’appuie sur un rapport publié par des chercheurs spécialisés dans la sécurité informatique, Joel Reardon de l’Université de Calgary et Serge Egelman de l’Université de Berkeley. Tous deux sont à la tête d’AppCensus, un cabinet d’audit chargé d’estimer le niveau de confidentialité et de sécurité des données des utilisateurs d’applications mobiles.
Les deux hommes disent avoir découvert que des applications collectaient une grande quantité de données personnelles, non nécessaires à leur fonctionnement et à leur objectif initial. Parmi elles, la localisation, le numéro de téléphone, ou encore l’adresse email de l’utilisateur. Très populaires, certaines de ces applications ont été téléchargées plus de 10 millions de fois. Elles ne sont pas ciblées sur une thématique, certaines ayant vocation à alerter des radars, d’autres à scanner des QR code, à accompagner le Ramadan ou encore à obtenir des prières musulmanes.
Les chercheurs ajoutent que les données étaient ensuite retransmises à l’entreprise Measurement Systems S., basée au Panama.
Plusieurs acteurs impliqués, des liens indirects avec le gouvernement américain
Dès lors que Joel Reardon et Serge Egelman ont constaté ces faits en octobre 2021, ils auraient immédiatement alerté Google. Un temps d’enquête aurait été nécessaire pour la firme de Mountain View, qui n’aurait supprimé ces applications que le 25 mars dernier, comme le confirme le WSJ.
Malgré tout, une fois que le code espion a été repéré par les chercheurs, il a alors cessé la collecte abusive.
Pour aller plus loin, le WSJ s’est entretenu avec une partie des développeurs travaillant sur les applications concernées. Ceux-ci déclarent avoir été payés par Measurement Systems S. pour implanter le logiciel et se seraient engagés au silence avec des accords de non-divulgation. Certains ont rapporté que ce sont principalement les données des utilisateurs basés au Moyen-Orient, en Europe centrale et orientale, mais aussi en Asie qui intéressaient l’entreprise du Panama. Or, lorsqu’il s’agit de collecter massivement des données en vue de les revendre, ce sont davantage les utilisateurs d’Europe occidentale et d’Amérique du Nord qui sont ciblés.
Le WSJ ajoute que Measurement Systems S. serait connecté à Vostrom, une entreprise basée en Virginie, apparemment sous-traitante des services de renseignement américains.
Depuis lors, certaines applications sont déjà de retour sur le Play Store. Cela signifie que les éditeurs ont ôté le logiciel, afin que ces applications puissent être à nouveau validées par Google.
