Une app expose les mots de passe de millions de réseaux wifi

Les mots de passe de près de 2 millions de réseaux wifi auraient été exposés à cause du manque de protection d’une application dédiée à la recherche de ponts d’accès gratuit.

Cette application n’est autre que Wifi Finder, une app très populaire sur Android qui renseigne à un utilisateur les réseaux wifi auxquels il peut se connecter gratuitement. Une aubaine pour ceux en manque de données mobiles et accro aux réseaux sociaux et autres solutions web, mais qui s’est révélée peu protégée.

En effet, Sanyam Jain, un membre de l’OGN GDI Foundation qui défend un Internet ouvert et gratuit, a repéré et révélé une faille de sécurité de l’application Android. Comme le précise TechCrunch avec qui s’est entretenu Sanyam Jain, on ne peut pas réellement parler de faille de sécurité puisque Wifi Finder ne protégeait tout simplement pas les mots de passe en question.

Sans protection, ce sont des millions de mots de passe de réseaux wifi tant publics que privés qui étaient exposés et donc susceptibles d’être infiltrés. Évidemment, cela est moins grave dans le cas d’un réseau public, mais ça l’est beaucoup plus pour les réseaux privés.

Or, avec le mot de passe, le piratage d’un réseau est facilité pour un hacker. Une fois infiltré sur le réseau, celui-ci peut tout bonnement se déployer dessus et rediriger de force les propriétaires sur des sites malveillants et ainsi infester leur machine.

Par ailleurs, les mots de passe des wifi n’étaient pas les seules données exposées puisque, pour fonctionner, les informations recueillies par Wifi Finder incluaient également la géolocalisation et leur BSSID, à savoir l’identifiant du réseau wifi.

Contacté par TechCrunch, le développeur de l’application, Proofusion, n’a pas donné suite aux demandes. Le site d’information s’est alors tourné vers l’hébergeur de la base de données qui a immédiatement fermé l’accès à celle-ci. « Nous avons averti l’utilisateur et avons mis le serveur hébergeant la base de données exposée hors ligne », a indiqué un porte-parole de l’hébergeur en question, DigitalOcean.