Le smartphone, terrain de jeux préféré des pirates informatiques

Les experts en sécurité informatique dénombrent de plus en plus d'actes de piratage de téléphones portables. Les mobiles, maillons faibles ? 

Un téléphone activé à distance par un pirate informatique et qui enregistre (voire parfois filme) à l'insu de son propriétaire une entrevue censée rester discrète ? Et ce, même lorsqu'il est apparemment éteint ! Ce scénario, digne d'un film d'espionnage, ne relève pas de la fiction ! En 2015, un groupe industriel a utilisé ce mode opératoire pour faire capoter une opération de fusion-acquisition. Selon la police, il a fait fuiter dans la presse des informations collectées, par ce biais, au cours du conseil d'administration d'une entreprise concurrente. « Les smartphones sont aujourd'hui le maillon faible de la chaîne numérique », expose Thierry Karsenti, vice-président Technique chargé de la zone Europe-Moyen-Orient-Afrique de Check Point, une société spécialisée dans la cyberprotection. Mi-ordinateurs, mi-téléphones, ces smartphones, dont nous ne nous séparons pas, sont insuffisamment protégés.

Des appareils connectés en permanence

Ces appareils sont pourtant connectés en permanence à une multitude de réseaux (4G, Wifi,Bluetooth). « Il en découle que leur surface d'attaque est d'autant plus importante, et c'est pourquoi ils sont devenus le terrain de jeux préféré des hackers », expose Tanguy de Coatpont, directeur général de l'éditeur d'antivirus Kaspersky. De plus, de nombreux usagers synchronisent ou rechargent leur téléphone en le branchant à un ordinateur, ce qui permet la propagation d'éventuels virus informatiques. La porte d'entrée reste majoritairement le mail infecté, mais les opérateurs ont identifié de nouveaux types d'attaques depuis cinq ans. « Il arrive que les pirates informatiques scannent les réseaux Wifi et pénètrent par ce biais les machines qui y sont connectées », note Thierry Karsenti. Les téléphones, parce qu'on les éteint rarement, constituent alors une porte d'entrée formidable. « D'autant que les utilisateurs ont parfois donné leur nom à leur smartphone, ce qui permet de cibler les individus », poursuit le spécialiste en cybersécurité.

Des textos infectés

Autre vecteur d'attaques ? Les SMS ! « Il arrive de plus en plus fréquemment que des textos soient infectés », confie Yves Rochereau, directeur général France de Check Point. « Le scénario le plus commun ? Vous recevez un message rédigé par un contact que vous connaissez (mais c'est une usurpation d'identité) qui vous propose de cliquer sur un lien ouvrant une page web d'un faux site reproduisant la configuration du portail d'une banque, de la sécurité sociale ou d'une messagerie. Lorsque vous entrez vos identifiants et mots de passe, vous ne vous rendez pas compte que vous donnez ces précieuses informations à un pirate », poursuit Thierry Karsenti. La manoeuvre est d'autant plus difficilement détectable que la contrefaçon du site est poussée et que le lien cliquable est un short link (une version raccourcie de l'adresse http).

Attention aussi aux fausses applications. Les logiciels de bureautique ou de jeux proposés en téléchargement gratuit sur certaines plateformes se révèlent parfois porteurs de fonctionnalités cachées, de virus informatiques-espions ou de ransomwares, des logiciels rançonneurs qui sont très en vogue en ce moment.

Faux flashcodes : le nouveau piège

 Ces derniers mois, les hackers ont développé un nouveau mode d'action, via les QR codes (ou flashcodes). On en retrouve partout maintenant : dans les grandes surfaces pour bénéficier d'une offre promotionnelle, sur les parcmètres pour payer sa place de stationnement en ligne ou encore à l'entrée des colloques ou conférences pour télécharger le programme des conférences ou tables rondes proposées. « Or rien n'est plus facile que de coller un faux flashcode sur un vrai et de pirater ainsi tous les smartphones qui le scannent », relève Thierry Karsenti.

Le 13 juin dernier, le groupe Vade Retro, spécialisé dans la sécurisation des messageries, a ainsi repéré à travers les 250 millions de boîtes-mail qu'il protège dans le monde un premier cas de «phishing » ou « hameçonnage » (comme est surnommée la technique d'approche des hackers pour « voler» des datas confidentielles) de ce type. Le message en cause affichait l'identité et l'image d'un opérateur télécoms connu et proposait à ses abonnés de se faire rembourser une partie de leurs appels téléphoniques. Pour les abuser davantage, il ne réclamait ni mail ni code secret, mais simplement de flasher un QR code infecté. Pour se protéger efficacement contre ce type d'actes malveillants, les professionnels de la cybersécurité misent sur la vigilance et la prudence des utilisateurs, mais développent aussi des offres de « suites sécurité » alliant antivirus, outils antiphishing (et antispams) et détecteurs de trafic suspect. Ils militent pour que ces offres soient désormais offertes en amont, c'est-à-dire couplées avec l'abonnement téléphonique.