Une faille de sécurité d'Android permet aux hackers de récupérer vos données via le Bluetooth

Des experts en cybersécurité ont récemment identifié une faille liée au Bluetooth sur Android. Lorsqu’elle est exploitée, celle-ci permet l’installation d’applis malveillantes et donne accès aux données personnelles de l’utilisateur aux pirates.

Une manipulation totalement transparente

Quelques jours après la découverte d’une faille critique touchant la version PC/Mac de l’application WhatsApp, la société allemande ERNW, spécialisée dans la sécurité des données numériques, a annoncé avoir identifié une importante vulnérabilité liée au Bluetooth sur les appareils utilisant un système d’exploitation Android. Rapidement alerté, Google a depuis proposé les correctifs permettant de colmater cette faille par l’intermédiaire de sa mise à jour de sécurité de février.

La faille en question offrait la possibilité aux pirates de tirer profit du Bluetooth pour récupérer les données personnelles de l’utilisateur et installer des applications malveillantes sur son appareil. La manipulation avait la particularité de pouvoir être effectuée à distance et de façon totalement transparente : aucune interaction ou confirmation de l’utilisateur n’était nécessaire, et rien ne s’affichait à l’écran durant l’installation des applications malveillantes ou du téléchargement des données stockées localement sur l’appareil.

Les appareils tournant sous Android Oreo et Pie concernés

Dans les faits, il suffisait que le Bluetooth du smartphone ciblé soit activé et que les pirates connaissent son adresse MAC pour pouvoir exploiter cette faille, qui touchait les appareils tournant sous Android Oreo 8 et 8.1 et Android Pie 9.0 (la dernière version en date d’Android 10 ne semble pas concernée). L’entreprise ERNW a indiqué qu’elle détaillerait la méthode employée pour localiser et exploiter cette vulnérabilité dès qu’elle aurait confirmation que l’ensemble des correctifs nécessaires ont été déployés par Google.

Dans un rapport publié sur le site d’ERNW, l’expert en cybersécurité Jan Ruge prodigue quelques conseils afin de limiter les risques que ce type de faille ne soit exploitée. L’homme invite les utilisateurs à activer le Bluetooth que lorsque cela est strictement nécessaire, à privilégier les écouteurs filaires au détriment des écouteurs Bluetooth, à veiller à désactiver la visibilité de l’appareil dans le menu associé et, bien évidemment, à toujours télécharger les correctifs proposés par Google.

Disponible depuis quelques jours, la mise à jour de sécurité mensuelle destinée aux appareils Android corrige un total de 22 bugs.

Par Yann Contegat, le 14 février 2020