WhatsApp et Telegram sont victimes d’une faille d’Android qui permet aux hackers d’accéder aux fichiers médias échangés par messages : photos, vidéos, audio… avec la possibilité de les modifier à distance. Le chiffrement proposé par les deux applications de messagerie n’est pas un gage de sécurité absolue.
Telegram s’est forgé la réputation d’une application ultra-sécurisée grâce au chiffrement de bout en bout qui assure le caractère privé de tous les messages échangés via la plateforme. Cette caractéristique, WhatsApp l’a aussi adoptée il y a quelques années avec la promesse d’offrir aux utilisateurs un bouclier contre l’espionnage venant des services de renseignement, mais aussi des hackers.
Symantec, la société de sécurité informatique connue pour sa solution antivirus Norton vient de publier un rapport sur une faille de sécurité qui affecte aussi bien WhatsApp que Telegram, deux applications chiffrées de bout en bout. La vulnérabilité a été baptisée Media File Jacking et s’exploite au moment du partage de fichiers médias. Comme l’expliquent les chercheurs, il s’écoule toujours un laps de temps pendant lequel le fichier envoyé quitte le smartphone source, est écrit sur l’espace de stockage du destinataire, puis chargé dans l’application de messagerie.
Pendant ce processus, les fichiers sont vulnérables et deviendraient « lisibles et modifiables » par les pirates grâce à des outils-espions spécialisés, et ce, malgré le chiffrement de bout en bout. Tous les types de fichiers média sont concernés : photos, vidéos, messages audio et même les documents. C’est au moment de l’écriture des fichiers sur le stockage externe chez le destinataire que la faille est entièrement exploitée.
« Le fait que les fichiers soient stockés dans un stockage externe et chargés à partir de celui-ci sans moyens de sécurité adéquats permet à d’autres applications disposant d’une autorisation d’écriture vers ce stockage externe de mettre en péril l’intégrité de vos fichiers multimédias », explique Symantec dans une note de blog. La faille peut être exploitée uniquement si les fichiers échangés sont stockés sur une mémoire externe, le stockage interne ne permettant pas aux applications tierces d’accéder aux fichiers d’une autre application sur Android.
Comment se protéger ?
Pour le moment, la solution préconisée par Symantec est de désactiver la visibilité des médias sur WhasApp et Telegram. Sur la seconde application, cette option est désactivée par défaut, tout le contraire de WhatsApp. Les fichiers média sont automatiquement stockés sur une carte SD lorsqu’elle est disponible. Pour la désactiver, il suffit d’aller dans Paramètres > Discussions. Devant l’option Visibilité des médias, assurez-vous que celle-ci est désactivée.
Sur Telegram, c’est déjà le cas par défaut, mais certains utilisateurs choisissent de l’activer pour libérer l’espace de stockage interne. Pour désactiver la fonctionnalité, Symantec explique qu’il suffit d’aller dans Paramètres > Paramètre des échanges. Assurez-vous que l’option Enregistrer dans la galerie est bien désactivée.
Enfin, les chercheurs expliquent que cette faille sera bientôt corrigée dans Android Q qui introduit une nouvelle politique de confidentialité qui modifie la manière dont les applications accèdent aux fichiers sur les stockages externes d’un smartphone.
Source : l-frii.com