iPhone : les applications iOS peuvent carrément enregistrer l’écran à l’insu des utilisateurs

 

Les iPhone sont-ils vraiment plus sécurisés que les smartphones Android ? Une enquête du site TechCrunch révèle que de nombreuses applications iOS populaires ont recours aux services de la firme d'analystes Glassbox, spécialiste de la technologie de “session replay”. Une technique qui implique d'enregistrer tout ce qui se passe à l'écran avant de l'envoyer sur des serveurs distants – avec parfois, au milieu, quelques données sensibles comme des adresses email, passeports, numéro de carte bleue, etc. Or certains clients de Glassbox ont été récemment victimes de fuites de données ce qui fait craindre des risques pour la vie privée des utilisateurs iOS.  Et pour ne rien arranger, cette collecte de données ne respecte pas les règles fixées par Apple, et n'est pas visible côté utilisateur. 

L'iPhone X lors de son lancement

Expedia, Hotels.com, Air Canada, Singapore Airlines… de nombreuses applications ont recours aux services de firmes d'analystes pour comprendre le plus précisément possible comment les utilisateurs utilisent ces applications et ce qui peut être fait pour les améliorer. Le secteur est occupé par de jeunes entreprises comme Appsee, UXCam, Mixpanel ou encore Glassbox. Nos confrères de TechCrunch ont mené l'enquête après ce tweet de Glassbox : “imaginez que votre site web ou application puisse voir précisément et en temps réel ce que font vos clients, et la raison de leur choix ?”. En visitant le site de l'entreprise, on se rend compte en effet que certaines grandes firmes comme celles sus-mentionnées, mais aussi par exemple la banque ING ont recours aux services de Glassbox. Du coup, les blogueurs ont décidé d'utiliser Charles Proxy, un programme permettant de réaliser des attaques man-in-the-middle, pour décortiquer les données que les applications qui ont recours à Glassbox envoient sur des serveurs distants.

Lire aussi : Google Play Store – ces 29 applications Android volent les photos des utilisateurs

Les applications sur iPhone collectent elles aussi beaucoup de données sur leurs utilisateurs

Leur découverte donne un éclairage sur ce qu'est, concrètement, la technologie dite de session replay vendue par ces entreprises : l'application enregistre purement et simplement ce qui se passe à l'écran (la vidéo ou des captures) avant de l'envoyer sur des serveurs distants. Serveurs qui peuvent être ceux de Glassbox ou ceux de la firme cliente. Les champs sensibles comme ceux dans lesquels l'utilisateur entre des données personnelles ou sensibles sont normalement masqués. Mais TechCrunch a découvert que ce n'était pas toujours le cas. Ainsi les employés des entreprises éditrices de certaines applications peuvent avoir accès à des données comme des numéros de carte bancaire ou des adresses en clair, du moment où ils ont accès à ces bases de données de session replay. Une collecte qui a lieu dans l'opacité la plus totale.

D'abord parce que rien n'indique à un utilisateur iOS que ce qu'il fait à l'écran dans une application peut être enregistré tel quel avant d'être envoyé sur des serveurs distants. Ensuite parce que les applications qui ont recours à ces pratiques ne prennent même pas la peine de le mentionner dans leurs conditions d'utilisation et leur politique en matière de vie privée. Glassbox n'est pas la seule firme à encourager ce genre de pratiques : UXCam par exemple collecte des vidéos des sessions d'utilisation qui incluent les gestes de l'utilisateur et ce sur quoi il a appuyé. Glassbox, principalement visé par l'enquête de TechCrunch, précise néanmoins n'avoir uniquement accès à ce qui se passe dans l'application de ses clients, et que les données collectées excluent le clavier… En outre, on sait que certaines applications choisissent d'utiliser leurs propres serveurs faisant craindre une multiplication des fuites de données.

Lire aussi : Android, iOS – les applications désinstallées peuvent désormais vous hanter avec des publicités ciblées

Ce qui est arrivé récemment, par exemple à l'application iOS d'Air Canada dont les données de 20.000 clients ont fuité comme le rappelle TechCrunch. Cette collecte de données ne semble pas respecter les conditions d'utilisation d'utilisation de l'App Store, habituellement assez strictes en matière de respect de la vie privée. Espérons pour les utilisateurs d'iOS qu'Apple fasse rapidement le ménage pour faire cesser ces pratiques…



Abonnez-vous gratuitement à la newsletter
Chaque jour, le meilleur de Phonandroid dans votre boite mail !
Réagissez à cet article !
Demandez nos derniers articles !
ios 14 pic google
iOS 14 : Google se moque un peu des “nouveautés” de l’OS des iPhone

iOS 14 est depuis le 16 septembre 2020 disponible dans sa version finale stable. Parmi les grosses nouveautés intégrées sur cette version de l’OS des iPhone, on peut noter quelques améliorations au niveau de l’écran d’accueil. Des fonctionnalités “inédites” qui…

keynote apple 15 septembre 2020 comment suivre
iOS 14 a été lancé trop vite, les développeurs pestent contre Apple

iOS 14, iPadOS 14… Apple a visiblement pris les développeurs de court en lançant ses nouveaux systèmes d’exploitation au lendemain de leur annonce. De quoi forcer nombre d’éditeurs à adapter leur application dans l’urgence faute d’outil de développement stable disponible…

tiktok ios 14 presse papier
Tik Tok : une énorme faille de sécurité dévoilée par iOS 14

L’arrivée de la beta d’iOS 14 révèle une énorme faille de sécurité dans l’application Tik Tok pour iPhone. Cette dernière examinait très fréquemment le contenu du presse-papier. Le développeur de Tik Tok, qui explique pourquoi son application a ce comportement,…