Google et Amazon valident des applications utilisées pour espionner les utilisateurs
Par June Cantillon - Mis à jour le
Les deux plus gros vendeurs d'enceintes connectées ont laissé passer des Apps dissimulant des logiciels permettant d'espionner les utilisateurs.
Après les affaires d'employés écoutant les utilisateurs d'enceintes connectées à leur insu -y compris chez Apple- il semblerait que certains programmes disponibles sur les Google Home et Amazon Echo puissent être utilisés à des fins malveillantes. Les chercheurs de Security Research Labs ont démontré cela en créant eux-mêmes ces programmes.
Les programmes d'apparence inoffensive, comme un horoscope, permettaient en fait de continuer d'écouter les conversations en feignant une erreur ayant entrainé la fermeture de l'App. Celle-ci continuait pourtant d'enregistrer les conversations. Pire, les programmes étaient alors capables de demander les mots de passe des utilisateurs en simulant une mise à jour pour les systèmes d'Amazon et de Google.
Les applications ont pourtant été approuvées par les deux sociétés, et n'ont été retirées que lorsque les chercheurs ont révélé la supercherie. Security Research Labs a ainsi voulu mettre en évidence la difficulté pour les constructeurs d'enceintes connectées de détecter les éventuels logiciels malveillants d'éditeurs tiers. De son côté, le HomePod d'Apple serait à l'abri de ce type d'attaque, en ne donnant jamais un accès direct aux logiciels tiers, mais en les obligeant à utiliser les API de la firme.
Après les affaires d'employés écoutant les utilisateurs d'enceintes connectées à leur insu -y compris chez Apple- il semblerait que certains programmes disponibles sur les Google Home et Amazon Echo puissent être utilisés à des fins malveillantes. Les chercheurs de Security Research Labs ont démontré cela en créant eux-mêmes ces programmes.
Les programmes d'apparence inoffensive, comme un horoscope, permettaient en fait de continuer d'écouter les conversations en feignant une erreur ayant entrainé la fermeture de l'App. Celle-ci continuait pourtant d'enregistrer les conversations. Pire, les programmes étaient alors capables de demander les mots de passe des utilisateurs en simulant une mise à jour pour les systèmes d'Amazon et de Google.
Les applications ont pourtant été approuvées par les deux sociétés, et n'ont été retirées que lorsque les chercheurs ont révélé la supercherie. Security Research Labs a ainsi voulu mettre en évidence la difficulté pour les constructeurs d'enceintes connectées de détecter les éventuels logiciels malveillants d'éditeurs tiers. De son côté, le HomePod d'Apple serait à l'abri de ce type d'attaque, en ne donnant jamais un accès direct aux logiciels tiers, mais en les obligeant à utiliser les API de la firme.
