Ces dernières semaines, le piratage de téléphone s'est soudainement invité au centre de l'intrigue de la populaire série quotidienne District 31. Et encore au début du mois de mars, des préoccupations à l'égard de l'information personnelle qu'emmagasinent nos cellulaires a soudainement refait surface dans les médias.

Fiction ? Fake news ? Faut-il craindre que nos portables se retournent contre nous ?

C'est que le petit appareil en sait un tas sur nous : nos déplacements, nos communications, nos adresses de courriel, nos photos, nos amis, nos parents et même nos animaux de compagnie. Accéder au contenu de notre téléphone, c'est entrer au coeur de notre intimité.

Il y a là plus qu'il n'en faut pour nous bombarder de publicité taillée sur mesure. Alors, imaginez l'attrait que cela peut susciter chez les pirates informatiques. Il n'est pas étonnant qu'ils préfèrent de plus en plus s'attaquer à nos téléphones plutôt qu'à nos ordinateurs, ils y trouvent tout le nécessaire pour accéder à nos comptes, pour voler notre identité, pour nous épier et pour transmettre notre position.

Le sujet était au centre du dernier Kaspersky security summit, une conférence qui réunit chaque année les professionnels dédiés à la lutte contre le piratage informatique. L'événement s'est clôturé dimanche dernier, à Cancún. On y a discuté de failles de sécurité informatiques, de logiciels espions, de programmes malveillants et autres chevaux de Troie.

Et bien sûr, des risques posés par la généralisation de l'usage du téléphone intelligent.

Un chercheur en sécurité mobile et une activiste des droits numériques sont venus présenter le résultat de leur enquête portant sur un maliciel appelé Dark Caracal, a rapporté CNet, le média spécialisé en technologies. Le programme en question a infesté des milliers d'appareils mobiles dans une vingtaine de pays. Selon les chercheurs en sécurité informatique, Dark Caracal est représentatif d'une tendance émergente. Il illustre le danger que font peser sur leurs utilisateurs les téléphones intelligents, des appareils connectés sans interruption à internet et qu'on traine sur soi en permanence.

Le mode de fonctionnement du maliciel est simple, et ça n'a rien de rassurant. Il se présente comme une version améliorée de logiciels populaires existants. Les victimes potentielles se trouvent chez ceux qui téléchargent des logiciels à partir de plateformes tierces, donc ailleurs que dans les boutiques Google Play et Apple App Store.

Dark Caracal se déguisait sous des habits de WhatsApp et de Signal, deux applications de messagerie. Une fois installée, elle donnait accès au microphone de l'appareil, aux caméras et à la puce GPS. Elle permet ainsi à des tiers de savoir où sont ses victimes, d'entendre leurs conversations et de les épier grâce à la caméra.

Comment les pirates accédaient à ces modules ? En le demandant à l'utilisateur, tout bêtement, de la même manière que le fait une application légitime. Plutôt que d'utiliser des failles du code système pour s'infiltrer dans les appareils, les pirates exploitent le manque de méfiance des utilisateurs.

De nombreuses applications demandent aujourd'hui accès à l'appareil photo, au micro, au module de localisation et à la liste de contacts. La plupart des utilisateurs acceptent ces requêtes machinalement, sans y penser. Pour les pirates, cette méthode est efficace et facile à mettre en œuvre. Étudier les codes pour en déceler des failles est au contraire un travail laborieux qui risque d'être ruiné à la première mise à jour du logiciel système (OS).

Les concepteurs de Dark Caracal manœuvraient vraisemblablement dans un but précis. On rapporte que les fausses applications ont été publicisées sur des sites fréquentés par des activistes et des journalistes. L'origine de l'attaque reste cependant inconnue.

Les espions sont incapables de déployer de faux logiciels par l'intermédiaire des boutiques officielles Google Play et Apple App Store. À moins de hacker soi-même son iPhone (jailbrake), il est impossible d'installer une application par l'intermédiaire d'une autre boutique que celle d'Apple. L'utilisateur d'Android peut télécharger plus facilement des logiciels à partir d'autres sources. Cela explique sans doute pourquoi seuls des appareils fonctionnant sous Android ont été infectés par Dark Caracal.

Morai de l'histoire: s'il est un conseil à donner pour éviter d'ouvrir la porte de votre téléphone à des étrangers, ne téléchargez jamais d'applications de boutiques tierces.