Alerte sécurité : Des millions de smartphones surveillés à leur insu
Une faille de sécurité a mis en lumière un problème majeur cette semaine, ramenant la cybersécurité sous les projecteurs. Cependant, l’attaque ne visait pas les utilisateurs, mais une entreprise de “data-scraper” qui collecte les emplacements de milliers d’utilisateurs et les vend potentiellement au plus offrant. La partie la plus inquiétante est que la société obtient les données de localisation à partir d’applications smartphone sans que les développeurs en aient connaissance.
Gravy Analytics récupère des données de localisation à partir de millions de smartphones via des applications populaires
Un groupe de pirates a piraté Gravy Analytics, une entreprise spécialisée dans la collecte de données de localisation. Dans le passé, Gravy a été surpris en train de vendre des informations à des organisations gouvernementales. La société n’a pas obtenu les données en utilisant des applications trojanisées ou en piratant le code. Elle a choisi d’exploiter l’écosystème publicitaire si présent dans les applications smartphone. Plus précisément, ils profitent du système d’enchères en temps réel (RTB) qui domine aujourd’hui. Cela signifie également que les développeurs d’applications n’ont aucun contrôle sur le processus. Ainsi, la grande majorité n’était même pas consciente de ce qui se passait.
Le système RTB permet aux courtiers en données de surveiller les données de localisation des utilisateurs de smartphones
Le RTB est un système où les entreprises enchérissent pour que leurs annonces soient visibles dans les applications. Cela signifie également que les courtiers en données peuvent “observer” le processus, gardant les données de localisation des utilisateurs de smartphones s’ils le souhaitent. Le rapport de 404 Media et Wired indique que des millions d’utilisateurs aux États-Unis, en Russie et en Europe sont affectés.
Il n’est pas encore clair si Gravy est le principal acteur dans le vol de données utilisateur. Il est également possible qu’ils obtiennent les données d’autres entreprises. Le système RTB permet aux entreprises malveillantes d’obtenir des données de localisation en se faisant passer pour des annonceurs potentiels. Elles peuvent commencer à collecter des données simplement en accédant aux plateformes d’enchères ou en acquérant d’autres entreprises de technologie publicitaire. Gravy possède une filiale appelée Venntel. Cette dernière est l’entreprise qui traite directement avec les agences gouvernementales américaines pour la vente de données de localisation. Elles vendent également les données à des entreprises commerciales plus traditionnelles.
Certains indices suggèrent que les données découvertes datent de l’année dernière. Call of Duty: Mobile fait partie des applications affectées, et le piratage a montré que Gravy a collecté les données des utilisateurs de la mise à jour “Saison 5”. Cette mise à jour est arrivée en mai 2024. De plus, les données ne sont pas obtenues par le GPS des smartphones, mais par leur adresse IP. Cela a permis aux pratiques de l’entreprise de passer encore plus inaperçues.
Applications affectées par les pratiques de Gravy
Il y a une longue liste d’environ 12 000 applications affectées par le “data scraping” de localisation de Gravy. Bien qu’il soit impossible de toutes les énumérer, certaines se démarquent par leur popularité ou leur niche. La liste comprend Tinder, Grindr, My Period Calendar & Tracker, MyFitnessPal, Tumblr, Yahoo Mail, Microsoft 365, Flightradar24, Moovit, Muslim Pro, et Christian Bible, entre autres. Des jeux populaires tels que Candy Crush, Temple Run, Subway Surfers, et Harry Potter: Puzzles & Spells ont également été affectés. La liste complète comprend également de nombreuses applications VPN et de suivi de la grossesse.
La plupart des développeurs d’applications affectés n’ont pas commenté les résultats. Cependant, les développeurs de Flightradar24, Tinder, Grindr et Muslim Pro affirment qu’ils n’ont rien à voir avec Gravy ou n’ont jamais même entendu parler de l’entreprise. Le problème affecte les applications sur les appareils Android et iOS. Cela dit, ni Google ni Apple n’ont encore publié de déclaration à ce sujet.
Source : www.androidheadlines.com
