256 apps de l’App Store collecteraient des données personnelles de leurs utilisateurs

Après XcodeGhost, des applications disponibles sur l’App Store semblent une nouvelle fois compromises (cf. XcodeGhost : un nouveau malware infecte de nombreuses applications iOS populaires). En effet, des chercheurs en sécurité de la startup SourceDNA auraient dénombré pas moins de 256 applications concernées touchant près d’un million d’utilisateurs.

Autre similitude avec XcodeGhost, les actions mises en cause se feraient à l’insu des développeurs via l’intégration d’un SDK tiers et d’API privées. Le SDK de Yumi, lié à la diffusion de publicité, serait incriminé. Les applications utilisant ce SDK collecteraient :

• une liste de toutes les applications installées sur l’appareil;
• le numéro de série de l’appareil;
• une liste des composants de l’appareil et leurs numéros de série;
• l’adresse e-mail associée à l’Apple ID de l’utilisateur.

Cette découverte intervient une semaine après qu’Apple ait retiré des applications de l’App Store qui exposaient leurs utilisateurs à un potentiel espionnage (cf. Apple retire des bloqueurs de contenu de l’App Store pour raison de sécurité).

Voici le communiqué de presse d’Apple en réaction à cette découverte:

« Nous avons identifié un groupe d’applications qui utilisent un SDK tiers pour la publicité, développé par Youmi, un fournisseur de publicité mobile, qui utilise des API privées pour recueillir des informations privées, telles que des adresses électroniques de l’utilisateur, les identificateurs de périphériques et les données d’itinéraire vers son serveur d’entreprise.

Ceci constitue une violation de nos directives de sécurité et de confidentialité. Les applications utilisant le SDK de Youmi seront retirées de l’App Store et les nouvelles applications soumises à l’App Store en utilisant ce SDK seront rejetées.

Nous travaillons en étroite collaboration avec les développeurs pour les aider à obtenir des versions mises à jour de leurs applications qui seront sans danger pour les clients et en conformité avec nos directives pour un retour rapide dans l’App Store. »

La liste des applications dépistées n’aurait pas été publiée mais aurait été remise de manière confidentielle à Apple. Mais Yumi étant une société chinoise, et la seule application explicitement visée étant la version chinoise de McDonald, on imagine qu’une fois encore les principales personnes exposées se trouve majoritairement en Chine ou plus généralement en Asie.

Pensez-vous que d’autres failles de sécurité restent à mettre à jour ?

Source | Via