iPhone : les applications iOS peuvent carrément enregistrer l’écran à l’insu des utilisateurs

Les iPhone sont-ils vraiment plus sécurisés que les smartphones Android ? Une enquête du site TechCrunch révèle que de nombreuses applications iOS populaires ont recours aux services de la firme d'analystes Glassbox, spécialiste de la technologie de “session replay”. Une technique qui implique d'enregistrer tout ce qui se passe à l'écran avant de l'envoyer sur des serveurs distants – avec parfois, au milieu, quelques données sensibles comme des adresses email, passeports, numéro de carte bleue, etc. Or certains clients de Glassbox ont été récemment victimes de fuites de données ce qui fait craindre des risques pour la vie privée des utilisateurs iOS.  Et pour ne rien arranger, cette collecte de données ne respecte pas les règles fixées par Apple, et n'est pas visible côté utilisateur. 

Expedia, Hotels.com, Air Canada, Singapore Airlines… de nombreuses applications ont recours aux services de firmes d'analystes pour comprendre le plus précisément possible comment les utilisateurs utilisent ces applications et ce qui peut être fait pour les améliorer. Le secteur est occupé par de jeunes entreprises comme Appsee, UXCam, Mixpanel ou encore Glassbox. Nos confrères de TechCrunch ont mené l'enquête après ce tweet de Glassbox : “imaginez que votre site web ou application puisse voir précisément et en temps réel ce que font vos clients, et la raison de leur choix ?”. En visitant le site de l'entreprise, on se rend compte en effet que certaines grandes firmes comme celles sus-mentionnées, mais aussi par exemple la banque ING ont recours aux services de Glassbox. Du coup, les blogueurs ont décidé d'utiliser Charles Proxy, un programme permettant de réaliser des attaques man-in-the-middle, pour décortiquer les données que les applications qui ont recours à Glassbox envoient sur des serveurs distants.

Lire aussi : Google Play Store – ces 29 applications Android volent les photos des utilisateurs

Les applications sur iPhone collectent elles aussi beaucoup de données sur leurs utilisateurs

Leur découverte donne un éclairage sur ce qu'est, concrètement, la technologie dite de session replay vendue par ces entreprises : l'application enregistre purement et simplement ce qui se passe à l'écran (la vidéo ou des captures) avant de l'envoyer sur des serveurs distants. Serveurs qui peuvent être ceux de Glassbox ou ceux de la firme cliente. Les champs sensibles comme ceux dans lesquels l'utilisateur entre des données personnelles ou sensibles sont normalement masqués. Mais TechCrunch a découvert que ce n'était pas toujours le cas. Ainsi les employés des entreprises éditrices de certaines applications peuvent avoir accès à des données comme des numéros de carte bancaire ou des adresses en clair, du moment où ils ont accès à ces bases de données de session replay. Une collecte qui a lieu dans l'opacité la plus totale.

D'abord parce que rien n'indique à un utilisateur iOS que ce qu'il fait à l'écran dans une application peut être enregistré tel quel avant d'être envoyé sur des serveurs distants. Ensuite parce que les applications qui ont recours à ces pratiques ne prennent même pas la peine de le mentionner dans leurs conditions d'utilisation et leur politique en matière de vie privée. Glassbox n'est pas la seule firme à encourager ce genre de pratiques : UXCam par exemple collecte des vidéos des sessions d'utilisation qui incluent les gestes de l'utilisateur et ce sur quoi il a appuyé. Glassbox, principalement visé par l'enquête de TechCrunch, précise néanmoins n'avoir uniquement accès à ce qui se passe dans l'application de ses clients, et que les données collectées excluent le clavier… En outre, on sait que certaines applications choisissent d'utiliser leurs propres serveurs faisant craindre une multiplication des fuites de données.

Lire aussi : Android, iOS – les applications désinstallées peuvent désormais vous hanter avec des publicités ciblées

Ce qui est arrivé récemment, par exemple à l'application iOS d'Air Canada dont les données de 20.000 clients ont fuité comme le rappelle TechCrunch. Cette collecte de données ne semble pas respecter les conditions d'utilisation d'utilisation de l'App Store, habituellement assez strictes en matière de respect de la vie privée. Espérons pour les utilisateurs d'iOS qu'Apple fasse rapidement le ménage pour faire cesser ces pratiques…