Android : de nombreuses applications suivent la localisation de leurs utilisateurs à leur insu

Certaines données récoltées sont partagées avec des institutions militaires et judiciaires.

Dans le cadre de son nouveau programme Digital Security Lab, la société ExpressVPN s’est penchée sur 450 applications avec l’aide de la Defensive Lab Agency, afin de déterminer dans quelle mesure ces dernières pistaient leurs utilisateurs. Une enquête qui lui a permis d’en conclure que la plupart de ces applications traçaient leurs utilisateurs sans que ces derniers ne soient forcément au courant.

Or, le pistage des utilisateurs représente de belles opportunités pour les entreprises spécialisées qui peuvent revendre les données à des entreprises publicitaires et d’analyses. Grâce aux données de localisation, il est en effet possible de créer des profils d’utilisateurs/consommateurs, de fournir des informations sur le comportement de ces derniers sur base de leurs mouvements.

Mais ces données ne sont pas seulement exploitées par des publicitaires et autres analystes, elles se retrouvent également entre les mains d’agences de renseignement, des forces de l’ordre et d’organisations militaires, indique le rapport d’ExpressVPN élaboré avec la Defensive Lab Agency. Cela peut évidemment mettre en péril la vie privée des individus, mais également leur liberté dans certains cas.

Des kits de pistage
Les chercheurs en cybersécurité d’ExpressVPN expliquent dans leur rapport que la plupart des applications fautives ici – dont le volume total de téléchargements atteint 1,7 milliard – utilisent des SDK – kit de développement logiciel – prêts à l’emploi intégrant des codes utilisés pour la publicité ou la surveillance. Ces derniers sont souvent difficiles à détecter, car enfouis dans le code des apps. C’est pourquoi elles arrivent à se frayer un chemin sur l’App Store et le Google Play s’en être inquiétées par Apple ni Google.

Au cours de leur enquête, les chercheurs ont été surpris de voir combien les trackers pistaient certains types de personnes. “L’une des choses les plus surprenantes de nos observations concerne le nombre d’applications de réseaux sociaux et de rencontres qui ciblent différents types de groupes démographiques. Quels que soient votre parcours, vos préférences sexuelles ou en matière de rencontres, il existe une application prête à vous espionner”, s’étonne Sean O’Brien, chercheur en cybersécurité chez ExpressVPN.

Certains développeurs peu scrupuleux n’hésitent pas à usurper l’identité d’applications populaires pour tromper les utilisateurs et récolter des données à leur sujet. C’est ainsi que plusieurs apps copient l’identité visuelle de Messenger, WeChat ou encore Telegram.

Des trackers interdits
L’enquête d’ExpressVPN a permis de découvrir que certaines applications disposaient de trackers développées par des entreprises condamnées par Apple et Google, notamment X-Mode. Cette dernière a en effet été épinglée en train d’acheter des données de localisation récoltées par des apps ordinaires installées sur des téléphones du monde entier. Ses méthodes lui ont valu d’être interdire sur l’App Store et le Google Play, cependant 199 apps des 450 applications étudiées ici comprenaient des trackers de X-Mode.

Si certaines apps indiquent plus ou moins clairement qu’elles traquent leurs utilisateurs, ce n’est pas le cas de toutes. D’ailleurs, le suivi peut se faire de manière subtile, empêchant les utilisateurs de le vérifier. Malheureusement, cela revient à Google et Apple de faire en sorte que des trackers abusifs ne puissent se cacher sur leur boutique d’applications respective. Les chercheurs d’ExpressVPN indiquent tout de même qu’il vaut mieux refuser l’accès à sa position lorsque cette donnée n’est pas nécessaire pour le bon fonctionnement d’une application.