Si vous m'aviez posé cette question le mois dernier, j'aurais répondu que, pour éventuellement finir par atteindre quelques 10 millions d'installations de logiciels malveillants, un cybercriminel devait lancer des campagnes d'e-mails de grande ampleur, propageant chaque jour des dizaines de millions de messages. Il s'avère que j'étais alors bien trop prudent. Les utilisateurs sont plus que disposés à télécharger et installer eux-mêmes des logiciels malveillants. Il suffit donc de compter sur la demande des consommateurs et sur la nature humaine.
Le Mois de sensibilisation nationale à la cybersécurité a montré comment la sécurité informatique est intégrée aux technologies avancées et la possibilité pour les utilisateurs d'exploiter notre société numérique sans se mettre en danger. Pour bon nombre d'américains, cela inclut leurs appareils portables. Notre étude portant sur plus de 25 millions d'applis, gratuites ou payantes, montre de façon irréfutable que les pirates se greffent insidieusement dans les applis populaires pour frapper de nouvelles cibles à travers les logiciels malveillants pour mobiles.
L'engouement qu'a suscité le jeu Pokémon GO et sa commercialisation progressive par région en est un bon exemple. L'éditeur a d'abord lancé ce jeu extrêmement populaire dans quelques régions du monde au travers des AppStore officiels. Les fans situés hors de ces zones géographiques n'avaient pas d'autre choix que de réfréner leur impatience à la lecture des articles ventant la popularité du jeu dans ces régions. Pire encore, les utilisateurs des régions achalandées avaient eux-mêmes du mal à activer le jeu ou subissaient des problèmes de latence du fait du nombre de fans surchargeant les serveurs de l'éditeur.
Ces problèmes ont donc généré une forte demande pour l'appli Pokémon GO gratuite. Ce qui n'a pas échappé aux cybercriminels. Ils ont aussitôt créé des versions du jeu chargées de logiciels malveillants, les ont lâchées sur Internet et quelques AppStore douteux, puis ont laissé Google et l'avidité des utilisateurs faire le reste.
Légende : Près de 3 millions de résultats liés au package Pokémon GO APK (fichier de téléchargement) sur Internet, les 3 premiers expliquant comment télécharger l'appli sans passer par les AppStore officiels
Peu après la sortie du jeu, Proofpoint Mobile Defense a très vite détecté des applis Pokémon GO malveillantes. La nature humaine étant toutefois ce qu'elle est, les consommateurs ont ignoré les avertissements et téléchargé le logiciel malveillant plus de 10 millions de fois. Cela représente plus de 10 millions de téléchargements d'une appli lestée de code malveillant, dans ce cas le logiciel espion Droidjack. Tous les avertissements émis par la presse, les fabricants d'appareils, voire le simple bon sens n'ont rien pu faire contre la nature humaine. Les utilisateurs ont délibérément choisi de télécharger cette appli, de cliquer sur « Accepter » et d'infecter eux-mêmes leurs appareils.
Les cybercriminels ont également exploité l'écosystème Pokémon GO dans son ensemble, c'est-à-dire les guides, bonus et autres astuces, que téléchargent les joueurs dans l'espoir de battre leurs adversaires. Le fait est qu'en matière de sécurité informatique, la faiblesse de la nature humaine est souvent le maillon faible le plus exploité.
Dans le cadre du Mois de sensibilisation nationale à la cybersécurité, nous recommandons aux utilisateurs de rester vigilants en matière de sécurité des applis mobiles. Ils trouveront ici sept méthodes qui leur permettront d'évaluer le caractère éventuellement malveillant d'une appli. Dans les organisations, où la prudence des employés n'est jamais garantie, vous devez envisager d'adopter des solutions comme Proofpoint Mobile Defense afin d'identifier les cybercriminels et de les empêcher d'accéder aux ressources de l'entreprise et des utilisateurs.