Discussion :

[Stéphane le calme]

Des extensions Chrome ainsi que des apps Android et iOS ont collecté des données personnelles,
à l'insu de leurs utilisateurs

Une enquête menée par AdGuard, une plate-forme de blocage des publicités, a révélé un lien commun entre plusieurs extensions Chrome et Firefox et des applications Android et iOS qui ont été interceptées en collectant des données utilisateur hautement personnelles à l'aide de diverses tactiques louches.

Le lien commun entre toutes les extensions et applications mobiles est une société nommée Big Star Labs. AdGuard dit que cette entreprise est derrière le développement des outils suivants, qui comprennent

• extensions Chrome :
  
  • Block Site (disponible également comme extension Firefox)
  • Poper Blocker (disponible également comme extension Firefox)
  • CrxMouse
• applications Android :
  
  • Speed BOOSTER
  • Battery Saver
  • AppLock | Privacy Protector
  • Clean Droid
  • Block Site
  • applications Mobile health club
• applications iOS :
  
  • Adblock Prime

AdGuard estime que ces applications ont été installées sur environ 11 millions d'appareils.

Des outils qui collectent l'historique de navigation des utilisateurs

Le problème, selon les experts d'AdGuard, est que ces extensions et applications collectent des données hautement personnelles. Pourtant, dans leurs politiques de confidentialité, elles déclarent ne collecter que des données « non personnelles » et « anonymisées ».

Par exemple, AdGuard indique que les extensions et les applications ont souvent collecté l'historique de navigation complet et n'ont pas anonymisé les URL, ce qui a permis à un observateur tiers de déterminer l'identité de l'utilisateur et les détails personnels concernant ses habitudes de navigation et sa vie réelle.

Dans un cas, une extension qui bloquait les popups et les superpositions de pages recueillait des données sur toutes les pages visitées par un utilisateur et ne se limitait pas aux pages où les popups étaient bloqués.

AdGuard souligne que cette pratique consistant à collecter des informations détaillées sur l'historique de navigation des utilisateurs en dehors du périmètre de l'application / extension d'origine est contraire aux règles de toutes les vitrines d'applications et d'extensions, mais ces extensions / applications sont toujours disponibles en téléchargement.

Des éditeurs qui veulent rester dans l’ombre

En outre, les enquêtes ont souligné que Big Star Labs, la société derrière ces applications et extensions, a intentionnellement tenté de masquer ses actions et son identité.

« Big Star Labs est assez bon pour cacher ses applications et sites affiliés », a déclaré Andrey Meshkov, co-fondateur d'AdGuard. « Chaque document qui contient le nom de la société est une image (en d'autres termes, vous ne pouvez pas simplement faire une recherche Google de leur nom), ils utilisent des comptes différents dans les magasins d'extension, et le nom des propriétaires de domaine ne sont pas disponibles publiquement ».

Meshkov souligne également que les politiques de confidentialité de toutes ces applications et sites sont uniquement disponibles sous forme d'images, probablement pour éviter d'être indexées par les moteurs de recherche et donc de rendre difficile la recherche de textes susceptibles d’en dire plus sur les pratiques étendues de collecte et de partage de données.

Les chercheurs soulignent également que les applications mobiles se sont servies de tactiques généralement vu dans les applications malveillantes. Par exemple, l'application iOS invite l'utilisateur à installer un profil de gestion des appareils mobiles (MDM). Ce profil MDM permet à l'application d'avoir un contrôle total sur l'appareil, d'intercepter le trafic et d'accéder à toutes les données, une raison pour laquelle les profils MDM sont souvent utilisés abusivement pour des opérations d'espionnage.

Ensuite, les applications Android de l'entreprise demandent à l'utilisateur les droits d'accès au service Accessibilité. Ce service est aujourd'hui la principale méthode par laquelle la plupart des chevaux de Troie bancaires et la plupart des malwares Android prennent le contrôle total des appareils infectés. Alors que les chercheurs d'AdGuard n'ont pas vu les applications de Big Star Labs effectuer des actions malveillantes, ils ont fait remarquer que l'accès à ce service rend la collecte de données très facile pour les applications.

Des applications et extensions qui devraient être supprimées

Meshkov prétend que ces applications et extensions sont dans la même position que l'extension Stylish, qui a récemment été retirée des magasins d'extension Mozilla et Chrome pour la consignation secrète de l'historique du navigateur des utilisateurs.

En outre, les applications et les extensions sont clairement en violation de la dernière loi sur la protection de la vie privée de l'UE car elles ne demandent pas le consentement explicite pour collecter toutes ces informations.

Enfin, les politiques de confidentialité brouillées ne précisent pas quelles données exactes les extensions et applications collectent, quelles sont les données "personnelles" ou "non personnelles" pour Big Star Labs, ou avec qui et comment Big Star Labs partage ces informations avec d'autres entreprises.

Dans des circonstances normales, Mozilla et Google devraient intervenir et supprimer ces applications après avoir confirmé les résultats d'AdGuard. L'application iOS quant à elle n'est pas disponible sur Apple App Store. Apple ne peut donc rien y faire.

Source : AdGuard

Voir aussi :

« L'extension de navigateur "Stylish" vole votre historique internet », selon un développeur qui la voit désormais comme un logiciel espion
Google met un terme à l'installation des extensions Chrome à partir de sites web autres que sa boutique d'applications en ligne

[Doksuri]

j'ai l'impression que ce sujet est recurrent ces derniers temps. Oui, il faut faire un peut attention a ce qu'on installe.

un bloc-note qui demande un acces complet a ton telephone... bah t'en cherches un autre

pour les extensions c'est plus difficile a comprendre.

par exemple : je me suis fais une extension chrome qui me relook un peut le navigateur : autorisations : "Accéder à toutes vos données sur les sites Web que vous consultez et les modifier"
alors que je n'ai que l'icone de l'extension, le manifest.json et monStyle.css
=> les messages (chorme en tout cas) sont un peut trop vagues

[HHesse]

Des développeurs d'applications pour GMail ont aussi eu accès à des données personnelles, à savoir les mails.

Perso, je préfère utiliser des navigateurs plus sûrs et protonmail comme webmail.