La fuite d'informations par le biais des smartphones est devenue en très peu d’années un phénomène alarmant. L'utilisation de logiciels espions et d'hypercall par des concurrents malhonnêtes est au cœur des préoccupations des entreprises qui craignent d'être espionnées. Parmi les utilisations les plus néfastes, on peut citer l'activation des microphones à distance pour écouter des conversations confidentielles alors même que les logiciels existants ne garantissent pas une sécurité totale.
"Le plus inquiétant est que si votre téléphone portable a été piraté, vous ne le saurez probablement jamais." C'est en ces termes qu'Edward Snowden, ancien employé de la NSA, exilé en Russie après avoir publié les données du programme américain de surveillance de masse PRISM en 2013 évoquait les programmes d'espionnage sur les appareils mobiles. Suite aux révélations de l'expert en sécurité informatique, une question tarraude depuis cadres et dirigeants d'entreprises. Si l'État peut extraire des informations confidentielles du microphone d'un téléphone portable : qui d'autre peut le faire ?
Les logiciels espions : un outil de plus en plus populaire
Quelques années plus tard, la réponse - qui était alors un secret de polichinelle - est publique. Pratiquement tout le monde, pour une somme modique, peut aujourd'hui accéder facilement aux informations et fonctionnalité d'un téléphone celullaire. L'offre de logiciels espions, également appelés "spouseware" ou "stalkware", s'est développée au cours de la dernière décennie à un point tel qu'elle est devenue un produit accessible au grand public sur le marché des applications IOS et Android. Les couples jaloux ou les parents inquiets du comportement de leur adolescent peuvent acheter, pour quelques dizaines de dollars, des applications telles que My Spy, Spy Bubble ou Mobile Spy et observer secrètement toutes les activités sur l'appareil cible depuis leur propre téléphone portable ou ordinateur. D'autres programmes, tels que Global GSM Control ou Spy360, sont spécialisés dans le processus d'hypercalling, une technique qui permet d'ouvrir le microphone d'un téléphone portable à distance à partir d'un simple appel indétectable. Selon un rapport annuel de l’entreprise de cybersécurité Kaspersky, "la tentative d'installation de stalkware sur les téléphones portables dans le monde entier est passée de 27 798 en 2018 à 37 532 au cours des huit premiers mois de 2019. Dans ce contexte, la région du monde où ce phénomène a le plus augmenté est l'Amérique latine, avec une augmentation moyenne de 172 %. Parmi les pays les plus touchés figurent le Brésil, le Pérou et le Mexique, ce dernier représentant plus de 10 % de l'utilisation de logiciels espions de ce type dans le monde.
Une menace pour les entreprises
Et les cas d'espionnage au sein de la cellule familiale ne sont que la partie visible de l'iceberg. Par des moyens plus ou moins sophistiqués la collecte illégale de données touche tous les niveaux de la politique, de l'industrie et des affaires. Jusqu’au plus protégés. Au printemps 2018, Jeff Bezos, propriétaire d'Amazon et homme le plus riche du monde, a été victime d'un tel piratage. Pendant des mois - jusqu'au début de 2019 - tout le contenu du téléphone du magnat du shopping en ligne et ses conversations ont été vérifiés. L'attaque, selon une enquête de l'ONU, aurait été ordonnée par le royaume d'Arabie Saoudite via le célèbre logiciel Pegasus. Développé par la société israélienne NSO Group et utilisé par plusieurs gouvernements dans la lutte contre le terrorisme et le crime organisé, le logiciel espion avait déjà démontré que personne n'est à l'abri de ce type d'espionnage. Gert-Jan Schenk, l'un des directeurs de la société américaine de sécurité pour téléphones portables Lookout, expliquait en 2016 à propos de Pegasus : "Nous n'avons jamais vu un logiciel espion aussi sophistiqué. Son existence dans le téléphone infecté ne peut pas être détectée par l'utilisateur. En outre, aucun cryptage des données n'est efficace pour s'en prémunir".
Hypercalls et spyware : un contrôle direct sur les microphones
Plus précisément, si le commanditaire de l'espionnage n'a pas d'accès direct à l'appareil, la porte d’entrée du logiciel espion vers votre système d'exploitation se trouve dans les applications qui y sont installées. Dans le cas de Jeff Bezos, on suppose que Pegasus est entré par des failles de code de sécurité dans l'application de messagerie WhatsApp. En général, l'utilisateur lui-même, sans en mesurer les conséquences, octroie à l'application les autorisations nécessaires pour accéder à ses données, aux caméras et aux microphones. Il existe de nombreux exemples d'abus à grande échelle par des programmes précédemment installés et a priori inoffensifs. En Espagne, en 2019, la Liga (ligue de football espagnole) a admis avoir utilisé un logiciel dans son application pour smartphone afin de détecter les diffusions illégales de matchs de football. À cette fin, les développeurs de l'application ont utilisé les microphones des téléphones activés à distance dans les horaires des matchs, sans expliquer clairement aux utilisateurs que leurs appareils étaient utilisés à cette fin.
Neutraliser l'espion
Ce dernier exemple et l'existence de nombreuses sociétés spécialisées dans l'espionnage par téléphone portable mettent en évidence la facilité d'accès à nos micros - même avec le téléphone portable éteint - et la vulnérabilité de nos conversations confidentielles. Au XXIe siècle, il est temps pour toute entreprise qui traite des projets, des technologies ou des concepts brevetés innovants de faire de la sécurité de son équipement téléphonique une priorité. Ne pas ouvrir de liens dans les messages suspects et ne pas accorder d'autorisations aux applications pour accéder à des fonctionnalités qui n'ont rien à voir avec leur utilisations, sont les réflexes préventifs minimaux à acquérir. En outre, s'il est vrai qu'il existe plusieurs services efficaces pour prévenir ces désagréments et éviter le vol d’ informations précieuses de votre entreprise, vous ne serez en revanche jamais sûr que l'espion n'a pas une longueur d'avance sur le dernier code de votre programme. Dans cette réalité, il n'y a qu'un seul moyen d'éviter qu'au moins vos conversations les plus importantes ne soient pas entendues avec vos téléphones portables : couper la source de l'espion en neutralisant les micros.
