Des applications iOS malveillantes utilisent Touch ID pour valider des achats in-app à votre insu

Des applications iOS, pourtant bien notées dans le Store d’Apple, étaient des escroqueries. Elles scannaient l’empreinte du doigt pour faire passer des paiements à l’insu de l’utilisateur.

Un chercheur a mis à jour un système utilisé par certaines applications iOS, pourtant bien notées, pour scanner votre empreinte de doigt afin de réaliser des achats à votre insu.

Des applications iOS qui arnaquent les possesseurs d’iPhone.

Apple met souvent en avant la sécurité de ses produits et des applications disponibles dans son Store, moquant régulièrement d’ailleurs la sécurité sur Android. La firme de Cupertino interdisant même les applications collectant des données personnelles. Un chercheur a pourtant mis à jour une menace particulièrement sérieuse cachée dans certaines applications populaires du Store d’Apple, qui pourrait bien se développer à l’avenir au vue de la faciliter à voler de l’argent aux propriétaires d’iPhone.

C’est le chercheur Luckas Stefanko du journal en ligne spécialisé dans la sécurité informatique, welivesecurity, à qui l’on doit cette découverte troublante (voir son article). Selon le spécialiste, des applications de suivi de la condition physique utiliseraient des méthodes particulièrement douteuses et frauduleuses pour extorquer de l’argent. Le chercheur explique que ces apps utilisent de façon abusive la fonction Touch ID de la marque à la pomme. Ces apps demandaient un scan d’empreinte digitale afin de consulter des « recommandations personnalisées en matière de calories et d’alimentation » en jouant la carte de la sécurité, alors qu’en réalité c’est pour authentifier un paiement.

En effet, peu de temps après, l’application affichait une fenêtre indiquant un paiement allant de 99,9 dollars à 139.99 euros. Les utilisateurs possédant une carte de crédit ou de débit connectée à leur compte Apple se voyaient alors débité de la somme. La transaction étant considérée comme validée par l’iPhone. Les utilisateurs refusant de scanner leur empreinte se voyaient proposer un bouton continuer, mais rapidement l’application tentait de nouveau de répéter l’opération jusqu’à ce que l’utilisateur, lassé par ces demandes, finisse par le faire…

Des applications iOS pourtant bien notées sur le Store d’Apple

Le chercheur précise qu’il s’agit de deux applications iOS : « Fitness Balance app » et « Calories Tracker app ». Selon toute vraisemblance, le développeur escroc serait le même auteur de ces applications malveillantes. Bien qu’étant de véritables arnaques, ces applications étaient particulièrement bien notées sur le Store d’Apple. Des commentaires enthousiastes vantaient aussi l’application. De fausses évaluations avec 5 étoiles et de faux commentaires enthousiastes sont malheureusement des techniques très prisées des escrocs. Il convient donc de mieux analyser les avis négatifs, plutôt que les avis positifs au moment de choisir une application.

Des victimes de cette escroquerie ont signalé les applications iOS incriminées à Apple qui n’a pas tardé à les retirer du Store. Apple recommande toutefois d’activer la fonction « Double Click to Pay » des iPhone X pour éviter de telles escroqueries. De plus en plus, les systèmes biométriques par reconnaissance des empreintes digitales montrent leurs limites en termes de sécurité, il y a peu nous évoquions les fausses empreintes passe-partout, avec un taux de succès de 20% pour déverrouiller les smartphones.