Android : l’application Wifi Finder a exposé 2 millions de mots de passe Wi-Fi

L'application Android Wifi Finder, actuellement disponible sur le Google Play Store, a exposé les mots de passe Wi-Fi de 2 millions de réseaux. Une grave faille de sécurité permettait en effet à un attaquant d'accéder à la base de données de l'application, contenant les mots de passe, les identifiants et la géolocalisation de chaque réseau. 

Wifi Finder permet aux utilisateurs Android de se connecter à des points d’accès Wi-Fi partout dans le monde. L'application propose aussi une carte des hotspots à proximité dans plus de 100 000 villes. “Tapez une adresse et trouvez le réseau Wi-Fi d'un café, d'un restaurant, d'un aéroport ou de tout autre lieu” promet le développeur sur le Google Play Store. Très populaire, l'application a été téléchargée plus de 100 000 fois depuis 2016.

Lire aussi : Orange – les mots de passe Wi-Fi de 19 490 Livebox volés suite à une faille de sécurité

Android : la base de données de Wifi Finder a été mise hors ligne

D'après nos confrères de TechCrunch, WiFi Finder permet aussi à un utilisateur de télécharger les mots de passe d'un réseau Wi-Fi auquel il est connecté vers la base de données de l'application pour que d'autres usagers puissent les utiliser.

Malheureusement, cette base de données de mots de passe était accessible en clair dans un fichier texte, accuse Sanyam Jain, chercheur en sécurité informatique et membre de la GDI Foundation, un organisme de défense de l'internet libre. On y trouvait ainsi le nom du Wifi, sa géolocalisation, son BSSID (un identificateur 48 bits) et le mot de passe. Selon Jain, la base de données cachait aussi des données concernant des zones résidentielles. Wifi Finder aurait-il collecté des données sur des réseaux WiFi privés ?

Lire aussi : Android – comment vérifier si l’on vous vole votre Wi-Fi et virer les voleurs

Informé par le chercheur, TechCrunch a tenté d'avertir le développeur de WiFi Finder pendant près de deux semaines. L'homme résiderait apparement sur le territoire chinois et serait très difficile à contacter. Le média est par contre parvenu à entrer en contact avec DigitalOcean, la firme qui héberge la base de donnée sur ses serveurs. “Nous avons averti le développeur et avons mis le serveur de la base de données hors ligne” rassure l'hébergeur américain. Utilisez-vous WiFi Finder ? Que pensez-vous de cette faille de sécurité ?