Cyberattaque sur mobile : comment se protéger ?


Les téléphones portables sont exposés aux mêmes risques que les ordinateurs. Par quels moyens les pirates perpétuent-ils leurs attaques et comment s’en prémunir ? Analyse et conseils des experts d’Orange Cyberdefense.

Mobile : quels sont les risques ?

En 2019, 52% de la population mondiale se connecte à Internet quotidiennement sur son mobile. Cela représente près de 4 milliards de mobinautes actifs, qui passent en moyenne 3h14 chaque jour sur Internet via leur téléphone portable[1].

Ces nouveaux usages impliquent de fait des risques, qui sont les mêmes que pour les ordinateurs, à une nuance près. Les utilisateurs, qu’ils naviguent sur le web via leur smartphone personnel ou professionnel, se sentent moins visés par les attaques que lorsqu’ils utilisent un ordinateur.

Ce sentiment de sécurité est encore plus grand pour les utilisateurs d’iPhone, dont le système d’exploitation demeure moins vulnérable – mais pas forcément immunisé – aux cyberattaques. Pourtant, les vecteurs d’infection sont nombreux et les pirates nourrissent les mêmes desseins sur mobile. En tête de liste : le vol de données, la génération de faux-clics sur des publicités et la demande de rançons.

Téléphone portable : quelles sont les vecteurs d’attaques les plus répandus ?

Les apps malveillantes

Les applications malveillantes sont de fausses apps, assez bien réalisées pour se faire passer pour des vraies. Leur but : endommager et/ou détruire un système d’information, voler, modifier ou supprimer des données, mais aussi afficher des publicités. Elles sont souvent ajoutées au code des applications mobiles et se déclenchent une fois l’app téléchargée et activée. Elles servent essentiellement de portes d’entrée aux pirates pour dérober des données personnelles.

Les banques sont particulièrement ciblées par ce vecteur d’attaque. Au premier semestre 2019, l’éditeur de solutions de cybersécurité Check Point expose dans son dernier rapport : « Les malwares bancaires ont réussi à infiltrer 50% de terminaux mobiles de plus qu’en 2018 »

Le phishing et le smiphing

Le phishing est une technique de piratage assez simple : elle consiste, via un site écran ou un e-mail frauduleux, à inciter un utilisateur à communiquer ses données personnelles. Celles-ci sont revendues à prix d’or sur des sites illicites.

Le smishing est la version SMS du phishing. Contrairement aux attaques venant de la navigation web, le SMS est propre au mobile et les utilisateurs sont souvent moins vigilants.

Les attaques de type man-in-the-middle

Ce type de cyberattaque a lieu lorsqu’un utilisateur se connecte à un WiFi public, depuis un aéroport, un restaurant ou un hôtel par exemple, et que ses communications sont interceptées à son insu. Le risque : que ses données soient dérobées par un pirate.

Pour s’en prémunir, les anti-virus traditionnels ne sont pas suffisants. S’ils apportent une protection au terminal mobile, ils n’ont pas la capacité d’empêcher ce type de cyberattaques. Selon une étude réalisée en 2017 par Check Point, 89% des entreprises ont subi une attaque de type man-in-the-middle sur leurs terminaux mobiles.

Focus sur les failles systèmes


Régulièrement « patchées » via des mises à jour, les vulnérabilités d’un système d’exploitation mobile restent pour autant un facteur de risque important. Pas ou peu détectées, elles sont pourtant bel et bien exploitées par les pirates et/ou les services de renseignement. On parle alors de vulnérabilités zero-day.

En outre, quand bien même les éditeurs d’OS et les constructeurs de terminaux ont fournis un patch de sécurité, l’action d’installation de la mise à jour elle-même nécessite une action de la part de l’utilisateur, qui ne l’effectue pas toujours. A titre d’illustration, 65% des utilisateurs iOS professionnels disposent d’une version vieille de moins de six mois, ce qui représente une moyenne de 17 vulnérabilités[4] par téléphone. Parmi elles, trois sont considérées critiques.

Comment sécuriser les mobiles ?

Pour rendre son mobile plus sûr, les antivirus et solutions logicielles vendus sur le marché représentent une première barrière face aux menaces mais ne suffisent pas toujours. Ils doivent également être complétés par la sensibilisation des premiers concernés : les utilisateurs eux-mêmes. Voici quelques bons réflexes à adopter :

  • choisir un mot de passe complexe ;
  • effectuer toutes les mises à jour requises par le système d’exploitation ou les applications  téléchargées ;
  • ne pas télécharger d’applications hors des app stores officiels ;
  • bloquer les sources non sûres et inconnues (réglage souvent configuré par défaut) ;
  • éviter les wifi publics et bloquer les connexions automatiques à ce genre de réseaux et/ou utiliser un VPN ;
  • ne jamais communiquer vos données personnelles par mail ou par sms, même aux instances officielles, tout simplement parce qu’elles ne le demandent jamais (vous serez forcément face à un pirate) ;
  • contrôler les autorisations de toutes vos applications et désactiver les options trop intrusives et inutiles au fonctionnement de l’app;
  • chiffrer vos données, ce qui les rend illisibles en cas de vol (fonction disponible dans l’onglet « Sécurité » de la majorité des appareils).