Sécurité des applications mobiles santé/fitness: 1 300 vulnérabilités révélées et comment se protéger

AppSec Solutions a mené un audit d’ampleur, en passant au crible près d’une centaine d’applications mobiles de santé et de fitness parmi les plus utilisées. Les conclusions sont difficiles à balayer d’un revers de main: les analystes ont relevé plus de 1 300 vulnérabilités, dont 450 classées critiques ou à gravité élevée.

Au cœur du problème, on trouve le stockage non sécurisé de données sensibles — mots de passe, jetons d’accès et informations personnelles des utilisateurs — laissées directement dans le code source des applications. Cette pratique abaisse mécaniquement la barrière à l’entrée pour les attaquants, leur ouvrant un accès aux rouages des services et aux données personnelles avec bien peu de résistance. Un manquement élémentaire qui n’a clairement rien à faire à une telle échelle.

Particulièrement risquées, les applications qui agrègent des informations financières et de géolocalisation. Nombre de services de fitness combinent des fonctionnalités payantes et l’accès aux données de paiement des utilisateurs tout en retraçant parcours d’entraînement et déplacements, un cocktail propice à la surveillance et au vol de données. Le rapprochement entre argent et déplacements forme un mélange explosif.

Pour renforcer sa sécurité, les spécialistes recommandent de ne pas lier sa carte bancaire aux applications, d’activer l’authentification à deux facteurs, de maintenir ses logiciels à jour et d’examiner attentivement les demandes d’autorisations à l’installation. Ils conseillent aussi de télécharger les applis uniquement depuis des sources officielles. Des gestes simples, certes, mais qui comptent lorsque les fondamentaux vacillent.