Un simple SMS suffirait à ouvrir vos conversations de Garmin Messenger à un parfait inconnu
Les opérateurs réattribuent les numéros abandonnés sans prévenir les services qui s’en servent d’identifiant. Garmin Messenger accepte justement un simple code reçu par SMS pour ouvrir une session. Un utilisateur a retrouvé tout son historique sur un second téléphone, sans jamais saisir de mot de passe.
Le numéro de téléphone sert aujourd’hui de pièce d’identité numérique. Banques, messageries et services en ligne l’utilisent pour vérifier qui se connecte, le plus souvent à travers un code à usage unique. Pourtant, cette méthode montre ses limites, et des chercheurs ont trouvé le moyen de contourner les passkeys de Google cet été. Derrière le SMS, la protection repose sur une ligne téléphonique, rien de plus.
L’application de messagerie de Garmin relie les porteurs de balises inReach aux smartphones de leurs proches. Elle fait transiter des textes par satellite, loin de toute couverture mobile, et répondre aux messages WhatsApp depuis ses montres connectées est devenu possible en mars. S’y mêlent des points de rendez-vous, des itinéraires et des positions partagées. Ouvrir une session donne donc accès à bien plus que du texte.
Garmin Messenger renvoie les conversations passées vers n’importe quel téléphone qui valide le numéro
Un possesseur de Garmin Messenger a raconté sur Reddit avoir installé l’application sur un téléphone tout juste configuré. Il a saisi son numéro habituel, validé le code reçu, puis vu revenir ses anciennes discussions. Tout s’est ouvert seul. Aucun mot de passe de compte ne lui a été demandé. Ce second appareil envoyait et recevait aussi des messages. Rien ne lui permettait de lister les sessions actives.
Partout, les opérateurs recyclent les abonnements résiliés. Aux États-Unis, la FCC recense environ 35 millions de lignes coupées chaque année. Des chercheurs de Princeton avaient déjà testé 259 numéros remis en vente, dont 215 restaient rattachés à des comptes de leur ancien titulaire. Si Garmin ne distingue pas le nouvel abonné de l’ancien, un inconnu pourrait donc remonter le fil. Personne n’a encore démontré ce scénario, puisque le code envoyé par SMS reste indispensable.
Le support de Garmin a répondu que l’application se comportait comme prévu, tout en acceptant d’examiner le signalement. De son côté, Ray Maker, connu sous le nom de DC Rainmaker, dit avoir transmis le même constat à la marque. Désinstaller le programme ne coupe pas le lien avec la ligne. Avant de céder un numéro, il faut passer par Comptes, puis supprimer son compte Messenger, sans toucher à l’abonnement inReach.
