Nouvelle menace sous Android
- Une recherche conduite par Trusteer se penche sur un nouveau cheval de Troie (SpitMo) capable de dérober les identifiants bancaires des utilisateurs de Smartphones sous Android.
- En mars dernier, Google, exposé aux controverses liées à une version antérieure de ce Trojan (SpyEye), expliquait que seules les informations relatives au support mobile pouvaient être récupérées ; mais, considérant la nature des exploits, l’accès à d’autres données par les attaquants était aussi envisagé (pour les Android versions antérieures à la 2.2.2 selon Google). Le géant s’était alors chargé de retirer l’application malicieuse de l’Android Market et de désinfecter les mobiles concernés.
- Les fraudeurs se tournent désormais vers les réseaux sociaux et transmettent les liens malicieux par SMS. Une fois installé, le cheval de Troie dérobe les informations bancaires et redirige les SMS relatifs aux transactions financières.
- Lors du téléchargement de cette menace, l’utilisateur remplit des champs qu’il identifie comme faisant partie intégrante de l’application bancaire.
- Plusieurs acteurs travaillent aujourd’hui à la sécurité des terminaux mobiles. Ces récentes découvertes et les polémiques renouvelées autour d’Android (voir l’Observatoire de mars, mai et juin 2011) témoignent de l’importance de ces prises de position. Cette même étude assoit le rôle des utilisateurs dans la prolifération de ce type d’applications malicieuses : insiste sur leur naïveté et la dangerosité de leur comportement.
- En juillet dernier, un livre blanc publié par viaForensics portait sur des tests réalisés afin d’éprouver 32 applications financières (sous Android et iPhone) , montrant l'importance des failles (14 d'entre elles seulement passaient le test avec succès).
- Du côté des applications proposées par des acteurs non bancaires, seules PayPal, pageonce et Wikinvest parviennent à convaincre. En revanche, la version iPhone de Square et les versions testées de Mint, inquiètent alors qu’elles permettent l’accès à des données critiques (mot de passe pour Mint sur Android et défaut de stockage sécurisé des données pour Square sur iPhone).
- Ces données sont d’autant plus fondamentales qu’une analyse publiée ce mois-ci par comScore révèle que 32,5 millions d’Américains (13,9 %) avaient déjà fait usage de leur mobile pour accéder à des informations bancaires fin juin 2011. Par ailleurs, 12,7 millions se serviraient d’applications de m-banking (en augmentation de 45 % par rapport à fin 2010).