Des applis musulmanes accusées d'avoir secrètement collecté des données d'utilisateurs

Google vient de supprimer un peu plus d’une dizaine d’applications de son Play Store après qu'il eut été constaté qu’elles collectaient abusivement des données personnelles avec du code litigieux inséré et caché dans un kit de développement logiciel, révèle une enquête du Wall Street Journal publiée le 6 avril. Or, dans la liste, on retrouve plusieurs applications de prière très prisées par des millions de musulmans, comme Al-Moazin Lite ou Qibla Compass Ramadan 2022. Des applications utilisées par des millions de personnes dans le monde.

Dans un billet publié le 6 avril, Joel Reardon, l’un des deux universitaires et chercheurs en ingénierie informatique, explique avoir inventé un procédé pour découvrir des systèmes cachés d’exploitation de données personnelles. Il présente les résultats des recherches menées avec ce nouvel outil. Baptisé AppCensus, cette invention peut effectuer des audits pour dénicher des vulnérabilités dans les applications Androïd.

Au cours de leurs recherches, les deux universitaires sont tombés sur un système développé par une obscure société panaméenne et installé dans une application de contrôle de la souris d'un ordinateur. Ce système envoyait des données à un site inconnu. C’est en cherchant des informations sur ce site que les spécialistes se sont rendus compte qu’il recevait des données en provenance d’autres applications, notamment celles destinées aux croyants musulmans. Les logiciels malveillants (ou malwares) utilisés peuvent se passer du routeur si l’utilisateur leur donne accès à ses données, ils ne sont donc pas vérifiées avant d’entrer dans les données personnelles.

Précision inquiétante, les programmes malveillants ont la possibilité d’envoyer des informations très précises sur la localisation de l’appareil utilisé. On peut donc imaginer qu’il serait facile de localiser des journalistes, des dissidents ou des adversaires politiques, comme l’écrit Joel Reardon sur son blog. Outre les coordonnées GPS, l’application collecte les numéros de téléphone, des mails, diverses informations techniques sur le mobile, l'adresse MAC, le SSID du Wi-Fi ainsi que le contenu du presse-papier, lequel peut éventuellement contenir des informations sensibles comme des mots de passe, rappelle Numerama.

Le WSJ précise que les données provenant d’Europe centrale et orientale, d’Asie et du Moyen-Orient étaient les plus recherchées. Si certaines des applications incriminées peuvent être encore trouvées sur Google Play, elles ont toutes été mises à jour depuis fin mars. On peut donc imaginer que le code a été nettoyé de toute instruction suspecte.

Toujours selon le journal américain, le code frauduleux est lié à des sous-traitants américains chargés de la sécurité nationale. Les deux journalistes auteurs de l’article ont été capables de démontrer que la société panaméenne qui a écrit le code malveillant proposait de l’argent aux développeurs des applications afin qu’ils acceptent de l’insérer dedans. Or, cette société est liée à une société du secteur de la défense située en Virginie, qui est elle-même en contact avec certaines agences de renseignement des États-Unis. Ce qui amène aujourd'hui des utilisateurs à penser que les informations collectées pouvaient se retrouver entre les mains des services fédéraux américains. En cette période de Ramadan, il peut être néanmoins prudent, a minima, de débarrasser son téléphone des versions anciennes pour les remplacer par les versions disponibles sur Google Play.

Cette nouvelle affaire n'est pas sans rappeler celle qui a tourmenté les équipes de Muslim Pro en novembre 2020. La très populaire application islamique pour les horaires de prières a été accusée de vendre des données de ses utilisateurs à l’armée américaine, poussant des utilisateurs à porter plainte.

Lire aussi :
Vente de données de localisation : après Muslim Pro, une autre appli de prière musulmane exposée
Accusé de vendre des données de ses utilisateurs à l’armée américaine, Muslim Pro dans la tourmente