Faille de sécurité : Trois millions d’applis iPhone et Mac ont pu être piratées pendant dix ans

Des failles de cybersécurité importantes ont été découvertes par des chercheurs. Pendant dix ans, les utilisateurs de 3 millions d’applications iPhone et Mac auraient ainsi pu connaître un important vol de données personnelles, rapporte Phonandroid ce mardi.

Selon les experts de la firme EVA Information Security, ces failles touchent un répertoire de ressources pour développeurs, baptisé CocoaPods. Un très grand nombre de développeurs utilise ces ressources afin de mettre au point des applications, ce qui explique le nombre important de produits touchés.

Un changement de système d’authentification laborieux

La cause de ces failles provient d’un problème de migration mal géré, comme l’indique Clubic. La plateforme avait connu un changement de système d’authentification, en 2014. Cette modification ne s’était pas passée comme prévu et avait causé la réinitialisation des droits à la propriété des créateurs de ressources. Ces derniers avaient donc dû revendiquer leur travail.

Mais tout le monde ne l’a pas fait et, encore aujourd’hui, des dépendances sont orphelines. La démarche permettant de revendiquer des pods étant ouverte à tous, n’importe qui aurait pu modifier ces ressources et les mettre en production dans les applications les utilisant. Cette manipulation aurait pu entraîner le vol de données sensibles des utilisateurs, à l’instar d’informations bancaires.

Des failles corrigées

Dès la découverte de ces failles, la firme EVA a informé la plateforme afin que des solutions rapides puissent être mises en place. Selon CocoaPods, tout aurait été corrigé en octobre 2023. Le gestionnaire affirme également qu’aucune attaque en lien avec ces failles n’a été recensée, ce que ne confirme pas EVA.

« Bien qu’il n’existe aucune preuve directe de l’exploitation de l’une ou l’autre de ces vulnérabilités dans la nature, la preuve de l’absence n’est pas l’absence de preuve », explique la firme. De leur côté, les utilisateurs ne peuvent rien faire. Il est tout de même conseillé de mettre régulièrement à jour ses applications et de faire attention aux autorisations requises.