Les codes à usage unique reçus par SMS ont un nouvel argument contre eux, et pas des moindres

Une enquête de Bloomberg se penche sur les tierces parties impliquées dans le système des codes de connexion reçus par SMS. Et leur découverte fait froid dans le dos, puisque l’un des acteurs les plus importants du secteur est relié à des services secrets et opérateurs de surveillance. 

WhatsApp, Signal, Amazon, Meta, Google, Binance… toutes ces entreprises et applications basent la sécurité des comptes de leurs utilisateurs, au moins partiellement, sur un système d’authentification double facteurs avec codes reçus par SMS. Un système qui pourrait sembler de loin sécurisé, si on ne savait pas déjà que des pirates ont trouvé comment intercepter les codes à usage unique via diverses techniques comme le SIM swap.

Or, le problème lié à ce type d’authentification est en réalité bien plus profond que cela. C’est ce que révèle une enquête Bloomberg (via ZDNET) sur les prestataires assurant concrètement l’envoi de ces codes par SMS. Ces codes ne sont en effet jamais envoyés directement par les marques mentionnées plus haut. À la place, toutes font appel en Europe au spécialiste suisse du secteur, connu sous le nom de Fink Telecom Services.

Les codes reçus par SMS ne sont pas un problème pour les services secrets

Et quand on creuse un peu comme l’on fait nos confrères, on tombe vite sur des cailloux. L’entreprise a en effet la main sur une partie éminemment sensible des réseaux mobiles. Fink est doté en effet d’une connexion directe au réseau SS7 mondial – le réseau privé inter-opérateurs qui peut permettre, entre autres, d’intercepter les communications, la localisation et les SMS de n’importe quel mobile en circulation.

Mais ce n’est pas tout, comme le rapporte Bloomberg : “L’entreprise et son fondateur ont travaillé avec des agences d’espionnage gouvernementales et des entrepreneurs de l’industrie de la surveillance pour surveiller les téléphones portables et suivre l’emplacement des utilisateurs”. Et le site d’ajouter : “Des chercheurs en cybersécurité et des journalistes d’investigation ont publié des rapports alléguant l’implication de Fink dans de multiples infiltrations de comptes en ligne privés”.

Ainsi, vous l’aurez compris, les codes reçus par SMS sont en réalité une modalité de connexion beaucoup moins sécurisée qu’elle ne pourrait le laisser penser. Des gouvernements et services secrets sont susceptibles de collaborer avec des entreprises comme Fink pour déjouer le chiffrement de bout en bout sur WhatsApp. Ou encore accéder à des portefeuilles de crypto de cibles sur Binance. Tout cela avec la complicité d’un acteur pour le moins controversé.

Pour réellement sécuriser vos comptes par une authentification double facteurs il est plutôt conseillé de passer, lorsque c’est possible, à une solution basée sur des clés physiques. Même si on remarque que tous les services en ligne ne le permettent pas encore.