Cybersécurité sur smartphone : top 7 des menaces et solutions de protection

Cybersécurité sur smartphone : Les smartphones, devenus des compagnons inséparables de notre quotidien, sont aussi la cible de cybercriminels astucieux. Ces appareils regorgent d’informations sensibles, rendant impérative une bonne connaissance des risques et des mesures de protection adaptées. Voici cinq cybermenaces courantes sur smartphone et comment s’en protéger efficacement.

https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/appareils-mobiles

Le Phishing (ou Hameçonnage)

Le phishing implique le déguisement d’un cybercriminel en entité de confiance pour extorquer des informations personnelles. Cette technique peut se manifester sous forme de SMS (smishing) ou d’e-mails alarmistes contenant des liens vers des sites frauduleux. La vigilance est votre meilleur allié contre le phishing. Méfiez-vous des messages au ton anxiogène ou proposant des offres exceptionnelles et ne partagez jamais d’informations sensibles via ces canaux.

Voici quelques exemples :

L’Hameçonnage lié à la COVID-19 : Au début de la pandémie de COVID-19, des cybercriminels ont envoyé des e-mails et des SMS prétendant provenir d’organisations de santé publique comme l’OMS ou des centres de contrôle des maladies. Ces messages incitaient les destinataires à cliquer sur des liens menant à des sites frauduleux, prétendant offrir des informations importantes sur le virus, ou à télécharger des applications qui étaient en réalité des malwares.

Les Faux E-mails de Banques et Services Financiers : Une méthode classique de phishing implique l’envoi d’e-mails semblant provenir de banques ou d’autres institutions financières. Ces messages alertent souvent les destinataires sur un problème de sécurité fictif ou une transaction suspecte, les incitant à cliquer sur un lien pour « vérifier » leurs informations. Ces liens mènent à des pages d’authentification imitant celles des banques, où les victimes saisissent leurs identifiants et mots de passe, qui sont ensuite volés.

Phishing lié aux Impôts et Services Fiscaux : Aux périodes de déclaration fiscale, des e-mails de phishing circulent, prétendant venir de l’administration fiscale. Ces e-mails peuvent prétendre que le destinataire doit de l’argent ou est éligible à un remboursement, et demandent de cliquer sur un lien pour accéder à plus d’informations ou pour effectuer un paiement, conduisant les victimes vers des sites frauduleux.

Les Campagnes de Smishing : Le smishing, ou phishing par SMS, est une autre forme courante. Par exemple, des messages prétendant provenir de services de livraison demandant aux destinataires de cliquer sur un lien pour suivre un colis. Ces liens mènent à des sites frauduleux où les informations personnelles sont volées.

Les Arnaques liées aux Réseaux Sociaux : Sur les réseaux sociaux, des comptes piratés ou imitant des entités réputées envoient parfois des messages directs aux utilisateurs. Ces messages peuvent contenir des liens vers des sites frauduleux ou demander des informations personnelles, prétextant un problème de sécurité ou une offre spéciale.

Les Wi-Fi Publics Frauduleux

Les réseaux Wi-Fi publics, souvent non sécurisés, sont un terreau fertile pour les attaques de type Man-in-the-Middle. Utiliser un VPN sur votre smartphone crypte votre trafic et masque votre adresse IP, fournissant une couche supplémentaire de sécurité. Désactivez également le Wi-Fi lors de vos déplacements pour éviter la connexion automatique à un réseau non sécurisé.

Voici quelques exemples :

Attaques Man-in-the-Middle dans des Cafés et des Espaces Publics : Dans ce scénario, un cybercriminel crée un point d’accès Wi-Fi qui semble légitime dans un lieu public comme un café ou une gare. Les utilisateurs se connectent à ce réseau, pensant qu’il est sûr. Une fois connectés, le pirate peut surveiller et intercepter toutes les données transmises, y compris les identifiants de connexion, les informations de carte de crédit, et les conversations privées.

Points d’Accès Wi-Fi Clonés dans les Hôtels : Les pirates peuvent configurer un réseau Wi-Fi qui imite celui d’un hôtel ou d’un autre établissement d’hébergement. Les clients, croyant se connecter au Wi-Fi de l’hôtel, fournissent sans le savoir leurs informations aux cybercriminels. Ces derniers peuvent alors accéder à tout ce qui est transmis sur le réseau, des détails de réservation aux mots de passe.

Réseaux Wi-Fi Piratés dans les Aéroports : Les aéroports, avec leurs vastes réseaux Wi-Fi publics, sont des cibles privilégiées. Les cybercriminels peuvent mettre en place des points d’accès Wi-Fi avec des noms similaires à ceux des réseaux officiels de l’aéroport. Les voyageurs, pressés de se connecter, peuvent négliger de vérifier l’authenticité du réseau et tombent dans le piège.

Réseaux Wi-Fi Trompeurs dans des Espaces de Travail Partagés : Les espaces de coworking, populaires chez les freelancers et les professionnels en déplacement, sont également susceptibles d’être ciblés. Les pirates installent des réseaux Wi-Fi qui semblent faire partie de l’espace de travail, mais qui sont en réalité contrôlés par eux, permettant ainsi de collecter des données sensibles d’affaires.

Hotspots Wi-Fi dans des Lieux Touristiques : Les lieux touristiques, où les visiteurs cherchent souvent un accès Wi-Fi gratuit pour éviter les frais de données en itinérance, sont des cibles faciles. Les pirates mettent en place des réseaux semblant être des services officiels ou sponsorisés par des attractions touristiques, et les touristes y connectent leurs appareils, exposant leurs données.

Les Applications Malveillantes

Des applications téléchargées peuvent contenir des logiciels publicitaires intrusifs, des spywares, ou même des ransomwares. Pour se prémunir contre de telles applications, téléchargez uniquement via des plateformes reconnues comme l’App Store ou le Play Store. L’utilisation d’un antivirus sur votre smartphone peut également s’avérer utile pour détecter les applications malveillantes.

Voici quelques exemples :

Judy : Une série d’applications de jeux sur Google Play qui étaient en réalité des malwares. Elles ont généré des clics frauduleux sur des publicités, affectant jusqu’à 36 millions d’appareils.

XcodeGhost : Un malware qui a infecté des applications iOS légitimes via une version compromise de Xcode, l’outil de développement d’Apple. Des applications populaires comme WeChat et Didi ont été touchées.

Lookout : Un faux antivirus sur Google Play qui prétendait scanner les appareils mais affichait en réalité des publicités intrusives et collectait des données utilisateur.

BadNews : Un réseau de publicité malveillant présent dans plus de 50 applications sur Google Play. Il a été utilisé pour envoyer de faux messages d’alerte incitant à l’installation d’autres malwares.

HummingBad : Un malware découvert sur Android qui établissait un rootkit persistant, affichait des publicités frauduleuses et installait des applications non désirées.

Le « SIM Swapping »

Cette technique implique l’usurpation d’identité pour obtenir une nouvelle carte SIM à la place de celle de la victime. Cette attaque permet aux cybercriminels d’accéder aux comptes de la victime, notamment ceux sécurisés par une authentification à deux facteurs via SMS. Pour limiter les risques, privilégiez des formes d’authentification à deux facteurs plus sûres, comme les applications dédiées.

Méthode du SIM Swapping

1. Collecte d’informations : Le fraudeur commence par recueillir des informations personnelles sur la victime, comme le nom complet, l’adresse, la date de naissance et, surtout, le numéro de téléphone. Ces informations peuvent être obtenues par des moyens illégaux comme le phishing, les fuites de données, ou les réseaux sociaux.
2. Contact avec l’opérateur téléphonique : Le fraudeur contacte ensuite l’opérateur téléphonique de la victime en se faisant passer pour elle. Il utilise les informations collectées pour passer les vérifications de sécurité.
3. Demande de transfert de numéro : Le fraudeur prétend avoir perdu ou endommagé sa carte SIM et demande l’activation de son numéro sur une nouvelle carte SIM, en sa possession.
4. Activation de la nouvelle SIM : Si l’opérateur est convaincu, il désactive la carte SIM de la victime et active le numéro sur la nouvelle carte SIM du fraudeur.
5. Accès aux communications : Une fois que la nouvelle SIM est activée, le fraudeur reçoit tous les appels, messages et codes de vérification par SMS destinés à la victime, lui permettant potentiellement d’accéder à des comptes sensibles (banques, emails, réseaux sociaux).

Exemples Illustratifs

• Accès aux Comptes Bancaires : Un fraudeur réussit un SIM Swapping sur le téléphone d’une victime, reçoit un code de vérification par SMS nécessaire pour réinitialiser le mot de passe du compte bancaire en ligne de la victime, et transfère de l’argent sur un autre compte.
• Prise de Contrôle de Comptes de Réseaux Sociaux : Après avoir effectué un SIM Swapping, le fraudeur réinitialise les mots de passe des comptes de réseaux sociaux de la victime en utilisant la vérification par SMS, et prend le contrôle de ces comptes.
• Vol d’Identité : En recevant les messages et appels destinés à la victime, le fraudeur collecte plus d’informations personnelles, facilitant d’autres formes de fraude comme le vol d’identité.

Les Défauts de Mise à Jour

Les mises à jour régulières du système d’exploitation et des applications de votre smartphone sont essentielles. Elles ne se contentent pas d’améliorer les performances de l’appareil, mais corrigent également des failles de sécurité potentiellement exploitées par des cybercriminels. Activez les mises à jour automatiques et désinstallez les applications inutilisées pour réduire les risques.

Attaques via Bluetooth

Les vulnérabilités Bluetooth peuvent permettre aux pirates d’accéder à votre appareil. Pour contrer cela, désactivez le Bluetooth quand vous ne l’utilisez pas et évitez de l’activer dans des lieux publics. Assurez-vous également que votre système d’exploitation est à jour, car les mises à jour incluent souvent des correctifs pour de telles vulnérabilités.

Voici quelques exemples :

BlueBorne : C’est une attaque qui permet à un attaquant de prendre le contrôle total d’un appareil via Bluetooth, sans que la victime ait besoin de cliquer sur un lien ou de télécharger un fichier corrompu. Elle peut affecter des milliards d’appareils fonctionnant sous différents systèmes d’exploitation.

BlueSnarfing : Cette technique permet à un attaquant de se connecter à un appareil via Bluetooth sans autorisation et de télécharger des informations, notamment des contacts, des messages et des photos. Elle exploite les failles de sécurité dans la mise en œuvre du Bluetooth.

Bluejacking : Bien que généralement inoffensif, le bluejacking permet d’envoyer des messages non sollicités à d’autres appareils Bluetooth. Cela peut être utilisé pour des farces ou du spam, mais aussi comme vecteur pour des attaques plus malveillantes.

Bluesnarfing : Similaire au BlueSnarfing, cette technique permet à un attaquant de réaliser une connexion non autorisée à un appareil Bluetooth et d’accéder à des données privées. Elle est plus sophistiquée et peut parfois permettre de contrôler les appels et les messages de l’appareil cible.

CARWhisperer : Cette attaque cible les systèmes Bluetooth dans les véhicules. L’attaquant peut envoyer ou recevoir de l’audio depuis le kit mains libres du véhicule, permettant d’écouter les conversations à l’intérieur de la voiture.

Le Cryptojacking

Cette technique utilise secrètement votre smartphone pour miner des cryptomonnaies. Les symptômes incluent une surchauffe de l’appareil, une baisse de performance et une consommation accrue de la batterie. Pour éviter le cryptojacking, téléchargez uniquement des applications de sources fiables et considérez l’installation d’un bloqueur de publicités.

Voici quelques exemples :

BadLepricon, Coin Miner, et d’autres applications Android : Google a supprimé plusieurs applications de son Play Store en 2018 après avoir découvert qu’elles utilisaient secrètement les appareils des utilisateurs pour miner de la cryptomonnaie. Ces applications se présentaient souvent comme des fonds d’écran animés, des jeux ou des utilitaires.

Loapi : Cette application malveillante pour Android, découverte en 2017, avait une capacité de crypto-minage qui pouvait surchauffer et endommager physiquement un téléphone. Elle se présentait souvent comme une application antivirus ou pour adultes.

Applications de minage masquées dans des applications légitimes : Dans certains cas, des applications légitimes ont été piratées ou modifiées pour inclure des fonctionnalités de minage de cryptomonnaie sans le consentement des utilisateurs.

Applications de calculatrice ou outils : Certaines applications se présentant comme des calculateurs de minage de cryptomonnaie ou des outils liés à la blockchain ont été découvertes en train de miner secrètement des cryptomonnaies en arrière-plan.

La protection de votre smartphone nécessite une combinaison de vigilance, de mises à jour régulières et de l’utilisation de solutions de sécurité adaptées. Restez informé des dernières menaces et des meilleures pratiques pour garder vos informations personnelles en sécurité.

Installer et Maintenir à Jour un Antivirus Fiable : Commencez par choisir un antivirus réputé spécifiquement conçu pour les appareils mobiles. Après l’installation, assurez-vous que l’antivirus est régulièrement mis à jour pour qu’il puisse détecter et protéger contre les dernières menaces.

Effectuer les Mises à Jour Système et des Applications : Activez les mises à jour automatiques pour le système d’exploitation de votre smartphone ainsi que pour toutes les applications installées. Ces mises à jour incluent souvent des correctifs de sécurité qui protègent contre les vulnérabilités récemment découvertes.

Utiliser un Gestionnaire de Mots de Passe : Un gestionnaire de mots de passe peut générer et stocker des mots de passe forts et uniques pour chaque compte, réduisant ainsi le risque d’accès non autorisé en cas de fuite de données.

Activer l’Authentification à Deux Facteurs (2FA) : Pour les comptes en ligne importants (email, réseaux sociaux, services bancaires), activez l’authentification à deux facteurs. Cela ajoute une couche supplémentaire de sécurité au-delà du simple mot de passe.

Désactiver le Wi-Fi et le Bluetooth en Public : Lorsque vous n’utilisez pas activement le Wi-Fi ou le Bluetooth, désactivez ces fonctionnalités pour éviter les attaques automatiques et les connexions non sécurisées.

Utiliser un VPN sur les Réseaux Wi-Fi Publics : Si vous devez utiliser un réseau Wi-Fi public, activez un VPN (réseau privé virtuel) pour chiffrer votre trafic Internet et protéger vos données des regards indiscrets.

Être Vigilant Face au Phishing : Ne cliquez jamais sur des liens dans des emails ou SMS non sollicités. Vérifiez toujours l’authenticité des messages suspects et ne fournissez jamais d’informations personnelles ou financières par ces moyens.

Télécharger des Applications Uniquement de Sources Fiables : Évitez de télécharger des applications depuis des sources inconnues. Utilisez uniquement des plateformes officielles comme l’App Store pour iOS ou le Play Store pour Android.

Verrouiller l’Écran de votre Smartphone : Utilisez un code PIN, un motif ou une authentification biométrique (empreinte digitale ou reconnaissance faciale) pour verrouiller votre smartphone. Cela empêche l’accès non autorisé en cas de perte ou de vol de l’appareil.

Effectuer des Sauvegardes Régulières : Sauvegardez régulièrement les données de votre smartphone sur un cloud sécurisé ou sur un support de stockage externe. Cela vous permettra de récupérer vos informations importantes en cas de perte ou de corruption de données.

Sensibilisation et Formation : Restez informé des dernières tendances en matière de cybersécurité et formez-vous sur la manière d’identifier et de réagir aux différentes menaces.

Nos liens sensibilisation RGPD

La collecte des données de connexion Wi-Fi dans les bâtiments publics : enjeux et conformité au RGPD(S’ouvre dans un nouvel onglet)

Le bluebugging : nouvelle menace pour la sécurité des données(S’ouvre dans un nouvel onglet)

Le Flipper Zero : Un outil de poche pour les pentesters et les geeks(S’ouvre dans un nouvel onglet)

Les risques de l’utilisation de la messagerie électronique professionnelle pour les communications personnelles : que dit la loi ?(S’ouvre dans un nouvel onglet)

Comment sécuriser votre smartphone en 6 étapes simples(S’ouvre dans un nouvel onglet)