Thermostat, store électrique, télécommande, caméra de surveillance pour bébé… Sur 100 applis iOS et Android qui permettent la gestion d’objets connectés, 15 ne sont pas sûres du tout.

15% des applications sont vulnérables aux attaques de type Man-in-the-Middle, particulièrement critiques dans le domaine de l’IoT puisque cela peut entrainer la prise de contrôle d’un objet connecté par un cybercriminel. Telle est la conclusion du laboratoire de recherche de Pradeo qui s’est penché sur la question en analysant un échantillon représentatif de 100 applications mobiles IoT (thermostat, stores électriques, télécommande, caméra de surveillance pour bébé…) disponibles sur Google Play et App store. Globalement, 80% des applis testées comportent des vulnérabilités, avec une moyenne de 15 par application.

«Si les applications mobiles des boutiques officielles comportent rarement des malwares, elles ne sont pas saines pour autant, explique Vivien Raoul, CTO & co-founder, Pradeo. En moyenne, les applications IoT analysées par Pradeo envoient les données qu’elles manipulent vers 17 serveurs distincts et 8% d’entre elles les divulguent à des serveurs non certifiés. Parmi ces derniers, certains font référence à des domaines qui ont expiré et sont par conséquent disponibles à la vente. Quiconque les rachetant pourrait alors avoir accès à toutes les données qui leurs sont destinées.»

La majorité des applications analysées envoient des informations vers le réseau. Voici les données divulguées classées par pourcentage d’applications :

Fichiers de l’application : 81% des applications

Information sur le matériel (nom commercial du produit, état de la batterie…) : 73%

Informations sur le périphérique (version de l’OS…) : 73%

Fichiers temporaires : 38%

Informations sur la connexion téléphonique (opérateur, code pays…) : 27%

Enregistrements audio et vidéo : 19%

Fichiers issus des données statiques de l’application : 19%

Informations de géolocalisation : 12%

Informations sur le réseau (adresse IP, état de connexion Wi-Fi): 12%

Identifiant du terminal (IMEI…) : 8%