Des centaines d’applications suivent votre localisation sans votre consentement

Selon une étude récemment présentée, des centaines d’applications mobiles outrepasseraient leurs droits et suivraient la localisation de leurs utilisateurs même si ceux-ci l’ont refusé.

Lorsqu’on installe certaines applications, celles-ci demandent à leurs utilisateurs de pouvoir les géolocaliser. Les utilisateurs peuvent alors accepter ou refuser cette localisation, en tout cas en théorie. Dans les faits, les choses ne sont pas forcément aussi simples.

En effet, selon l’étude réalisée par un groupe de chercheurs de l’Institut international des sciences informatiques (ICSI) présentée à la conférence PrivacyCon 2019, des centaines voire des milliers d’applications très populaires ont trouvé le moyen de contourner cette restriction et de localiser le smartphone de leurs utilisateurs.

L’étude explique que même en ayant reçu l’interdiction explicite des utilisateurs, les applications peuvent malgré tout avoir accès à cette information. Il suffit qu’une autre application qui a accès à ces données les stocke dans un espace partagé auquel l’application plus intrusive a accès.

Les chercheurs précisent que les applications n’ont pas besoin d’être liées pour que les informations circulent. Il suffit qu’elles utilisent le même kit de développement logiciel (SDK). Dans ce cas, si l’application A n’a pas l’autorisation d’accéder à la localisation d’un utilisateur, celle-ci peut demander cette information à l’application B qui repose sur le même SDK qu’elle et qui a accès à cette donnée.

L’étude pointe du doigt des applications très populaires, notamment celles de Samsung et Disney, qui ont été téléchargés des centaines de millions de fois. Elles utilisent les SDK développés par l’entreprise chinoise Baidu. Les chercheurs affirment avoir constaté que certaines applications utilisant les SDK de Baidu essayaient discrètement d’avoir accès aux données des utilisateurs afin de les partager avec autrui.

La prochaine mise à jour majeure d’Android pourrait régler ce type de vulnérabilité, encore faut-il que les utilisateurs puissent la télécharger. Les smartphones les moins récents ne pourront pas en profiter et seront donc encore vulnérables à ce genre d’intrusion. Google a confirmé à The Verge – qui partage l’information – qu’Android Q masquera par défaut les informations de géolocalisation des applications photo notamment.