Au moyen d’une «porte dérobée», rentrer dans un smartphone et en intercepter les informations. Ce classique du film d’espionnage, que les révélations sur la surveillance de la NSA a rendu palpable, est bien ancré dans le réel. Et pourrait même être une menace à grande échelle pour un grand nombre d’utilisateurs de téléphones portables.

Deux chercheurs ont en effet identifié un moyen qui permettrait à une personne mal intentionnée d’installer du code malicieux, ou de prendre potentiellement le contrôle de deux milliards de téléphones dans le monde. La vulnérabilité découverte par Mathew Solnik et Marc Blanchou utilise ainsi les outils de gestion implémentés dans les téléphones par les fabricants et les opérateurs pour, par exemple, les configurer ou les mettre à jour à distance. Les deux chercheurs en sécurité informatique se sont aperçus que la plupart des appareils utilisent un outil développé par la même entreprise, dont ils ne souhaitent pas révéler le nom avant d’avoir présenté leurs résultats, mercredi à Las Vegas, lors du Black Hat, une conférence internationale sur la sécurité informatique.

Personne n’aurait encore utilisé cette faille

Selon Wired, cette vulnérabilité serait présente dans des téléphones sous Android ou des BlackBerry, ainsi que sur un nombre limité d’iPhones du réseau Sprint, le troisième opérateur du marché américain. Le système permettrait ainsi, selon la configuration de chaque opérateur, de voir les applications présentes sur un téléphone, de les lancer, de les fermer ou même d’en effacer à distance, en demandant ou non la confirmation de l’utilisateur. Certains systèmes permettraient également de rediriger les appels ou de prendre le contrôle de l’appareil.

Les deux chercheurs, qui ont établi que les deux téléphones les plus vulnérables étaient le HTC One M7 et le Blackberry Z10, estiment que personne n’a encore utilisé cette faille. Ils ont prévenu l’entreprise qui fabrique le logiciel en question, et celle-ci a déjà publié un patch corrigeant la vulnérabilité. La difficulté est maintenant de s’assurer que tous les appareils profitent de la mise à jour.