Faille découverte dans les applications de traque : des millions de personnes exposées

Une grave faille de sécurité a été découverte dans des applications populaires de stalkerware, exposant les informations personnelles sensibles et les communications de millions de personnes.

Le stalkerware (en français : logiciel de traque, surveillance, voire harcèlement) est un type de logiciel espion, fréquemment utilisé pour espionner tous les messages envoyés ou reçus par un proche, savoir à qui il parle sur son téléphone, connaître sa localisation ou voir les photos qu'il a prises.

Bien que les logiciels de traque soient souvent présentés comme un moyen de suivre le comportement en ligne de vos enfants ou de vos employés, ou d'assurer la sécurité de votre famille, la réalité est que ce sont souvent les conjoints jaloux ou les gens ayant un intérêt malsain pour une personne qui finissent par acheter ces applications et les installent sur les appareils de leur cible.

Il est souvent arrivé que des victimes d'abus domestiques soient la cible de logiciels de traque, qui tentent souvent de dissimuler leur présence sur un smartphone compromis.

On comprend donc l'émoi ressenti dans divers pays du monde lorsqu'un chercheur en sécurité a mis au jour une faille de sécurité présente dans les applications de surveillance téléphonique Cocospy et Spyic.

Comme le rapporte TechCrunch, la faille a permis de divulguer les adresses électroniques des personnes qui se sont inscrites à Cocospy ou Spyic dans l'intention d'installer secrètement l'application sur l'appareil d'un tiers.

Selon ce chercheur anonyme, Cocospy est l'une des plus grandes opérations connues de stalkerware au monde, avec près de 1,8 million d'utilisateurs enregistrés. Spyic, qui partage son infrastructure informatique avec Cocospy, compte 875 000 utilisateurs enregistrés.

Les deux applications sont liées à un développeur chinois d'applications mobiles, qui est resté silencieux sur la faille de sécurité et qui, à l'heure où nous écrivons ces lignes, n'a pas résolu le problème.

Il est difficile d'éprouver de la sympathie pour les acheteurs de logiciels de traque dont les données ont été divulguées de cette manière. Notre attention devrait plutôt se porter sur les personnes innocentes qui ne savent pas que leurs appareils sont espionnés.

C'est en pensant à eux que nous partageons un moyen simple de savoir si Cocospy ou Spyic a été installé sur leurs appareils Android.

Comme le décrit TechCrunch, en entrant dans l'application téléphone Android, en tapant ✱✱001✱✱✱ sur le clavier, puis en appuyant sur le bouton « appeler », les applications de stalkerware apparaîtront à l'écran si elles sont installées.

Cette fonctionnalité a été intégrée au stalkerware pour permettre à la personne qui a installé les applications de récupérer l'accès aux appareils de sa victime - mais elle peut également être utilisée par la victime pour déterminer si le logiciel espion a été installé.

Cocospy et Spyic se présentent tous deux sous la forme d'une application générique appelée « System Service ».

Si vous êtes préoccupé par les logiciels de traque ou espionnage, n'oubliez pas de lire le guide de l'EFF sur l'autodéfense en matière de surveillance.