Comment ces fausses applications bancaires contournent les systèmes de sécurité de votre smartphone en Europe

 
Installer une fausse app bancaire en trois clics et sans se faire pincer. Voilà en substance comment se déroule la nouvelle campagne d’hameçonnage qui sévit actuellement en Europe.

Les hackers malveillants ne manquent pas d’imagination. Pour échapper aux mesures de sécurité d’iOS et d’Android, des nouvelles campagnes d’arnaques exploitent les standards modernes du web pour siphonner des données avec un air plus légitime que jamais. Comme l’a remarqué Bleeping Computer, en Hongrie et Géorgie des campagnes de phishing bancaire se faufilent sur les téléphones des victimes grâce à des PWA bien ficelés.

Les PWA (ou Progressive web Apps dans la langue de Shakespeare) sont des applications web poussées qui peuvent émuler les fonctions d’applications natives (notifications, interface plein écran, etc.). Pensées pour offrir une alternative aux applis « classiques » distribuées depuis l’App Store ou le Play Store, elles peuvent être installées depuis n’importe quel site, accéder aux données de votre téléphone comme n’importe quelle app et échappent aux contrôles mis en place par Apple et Google sur leurs magasins d’application.

Des apps à l’allure officielle

En exploitant ces fonctionnalités, des pirates ont donc ficelé des campagnes d’hameçonnage très convaincantes. Repérée par les spécialistes en cybersécurité de chez ESET, l’opération commence par un message innocent conseillant à la victime de mettre à jour l’application de sa banque en se rendant sur le Play Store ou l’App Store. Sauf que le lien contenu dans le message redirige vers un clone des magasins d’apps de Google et Apple qui va ensuite vous pousser à installer une PWA à l’allure tout à fait officielle.

La différence entre une PWA (gauche) et une app officielle (droite) est subtile // Source : ESET

Le principe même des PWA est en effet d’agir comme une app classique avec un raccourci posé sur le bureau, une expérience de navigation native et une interface adaptée. En apparence, rien ne permet de la discerner d’une app bancaire classique, ce qui a plutôt tendance à rassurer. Et comme aucun fichier d’installation n’est techniquement téléchargé sur l’appareil, aucun message d’alerte n’apparaît et les antivirus d’Apple et de Google n’y voient que du feu.

Méfiance est mère de sûreté

Une utilisatrice ou un utilisateur peu précautionneux peut ensuite se faire avoir en renseignant ses coordonnées bancaires sur « l’app » qui n’est en réalité rien d’autre qu’une fenêtre vers un site malveillant. Les PWA pouvant être mis à jour sans rien télécharger sur le téléphone, elles peuvent en plus s’adapter en permanence pour rester sous les radars.

Pour aller plus loin
Mandrake : voici le « nouveau » logiciel malveillant sur Android dont vous devriez vous méfier

Une seule PWA pouvant en plus infecter les utilisateurs Android ou iOS, il est plus important que jamais d’exercer une bonne dose de scepticisme au moment de cliquer sur un lien reçu par mail, par SMS ou même via des pop-up sur des sites tiers.


Rejoignez-nous de 17 à 19h, un jeudi sur deux, pour l’émission UNLOCK produite par Frandroid et Numerama ! Actus tech, interviews, astuces et analyses… On se retrouve en direct sur Twitch ou en rediffusion sur YouTube !

Les derniers articles