Découvrez à travers cet article, comment éviter les risques liés aux applications non sécurisées 

En février dernier, Apple et Google ont retiré une vingtaine d’applications mobiles de leurs stores. Celles-ci étaient infectées par un malware qui volait les données des utilisateurs. Les applications sont une porte d’entrée très souvent utilisée par les cybercriminels : près d’un tiers des attaques tirent parti des vulnérabilités applicatives pour accéder au SI des entreprises. 

En parallèle, 84 % des organisations constatent que leurs collaborateurs travaillent depuis des appareils personnels. Quels sont les différents risques cyber liés aux applications non sécurisées ? Quels sont les bons réflexes à adopter pour identifier les applications à risque et pour garantir la sécurité des données de votre organisation ?

Les dangers des applications non sécurisées

Une application peut exposer votre entreprise de plusieurs manières. Certaines sont mal conçues techniquement, d’autres n’intègrent pas suffisamment de dispositifs de sécurité… Il existe également des applications malveillantes, conçues pour espionner, collecter des données, ou mener des cyberattaques. Voici les principaux risques d’une application non-sécurisée : 

• La collecte de données : certaines applications collectent un grand nombre de données comme les contacts du répertoire, la géolocalisation, l'historique de navigation, etc. Parfois cette collecte est précisée dans les CGU de l’application, parfois elle est organisée à l’insu de l’utilisateur. Dans les deux cas, elle représente une menace pour la confidentialité et la sécurité de vos données, qui peuvent ensuite être revendues, exploitées ou divulguées.
• Les permissions abusives : les applications malveillantes demandent souvent un accès disproportionné par rapport à leur fonction. Par exemple, elles peuvent exiger l’accès aux SMS, au micro ou encore à la caméra. Si une autorisation est accordée par manque de vigilance, l’application peut alors espionner l'utilisateur et capter des informations confidentielles.
• Des vulnérabilités non corrigées : ces failles sont exploitées par les cybercriminels pour exfiltrer des données, exécuter du code à distance, ou encore pour obtenir des privilèges en vue d’accéder à des informations plus sensibles. Les applications les plus à risque sont celles qui ne sont plus suffisamment mises à jour par leurs développeurs.
• L’interception des communications : beaucoup d’applications n'assurent pas le chiffrement des données. Si l’utilisateur se connecte à un réseau non sécurisé comme un WiFi public, des hackers peuvent alors intercepter, consulter et modifier les informations échangées. Il s’agit d’un risque important pour les collaborateurs en mobilité ou en télétravail.
• L’installation d’un malware : certaines applications peuvent contenir des malwares utilisés par les cybercriminels pour mettre la main sur vos données, enregistrer les frappes de clavier, activer la caméra à distance ou encore prendre le contrôle du terminal. Un seul appareil compromis peut devenir un point d’entrée vers le réseau de votre entreprise et servir de vecteur pour un ransomware par exemple. Pour duper les utilisateurs, certains hackers n’hésitent pas à cloner des applications connues de tous.

• Le Shadow IT : les collaborateurs peuvent installer des applications sans en informer la DSI, et utiliser des outils non validés ou des appareils non autorisés (téléphone ou PC). Au-delà des risques de sécurité importants que cette pratique comporte, leur utilisation échappe à votre supervision et peut ne pas être conforme à votre PSSI ainsi qu’aux réglementations en vigueur.

   

Quelles bonnes pratiques pour sécuriser l’utilisation des applications ?

Votre organisation peut mettre en place plusieurs bonnes pratiques pour se protéger de la menace des applications non sécurisées : 

• Intégrer des briques de sécurité directement dans les terminaux, à l’instar du chiffrement de toutes les communications de l’appareil, d’un VPN pour sécuriser la navigation, ou encore d’un contrôle des différents ports (USB, bluetooth, WiFi…).
• Adopter une solution de Mobile Device Management (MDM) : cet outil permet à l’équipe IT de gérer à distance, depuis une interface unique, l’ensemble de la flotte mobile de votre organisation. Il est par exemple possible de configurer les appareils, d’effectuer les mises à jour applicatives, de bloquer certaines applications ou encore de supprimer les données en cas de vol ou de perte. 
• Mettre en place une politique encadrée de BYOD (bring your own device) : plutôt que d’interdire totalement l’usage des appareils personnels, qui continueront certainement à être utilisés malgré tout, le fait d’autoriser le BYOD en fixant quelques règles permet de réduire les risques. Il convient par exemple de définir le type d’appareils autorisés, de lister les applications et les ressources auxquelles les employés peuvent accéder, ou d’indiquer les dispositifs de sécurité obligatoires (chiffrement, authentification MFA, VPN, etc.).
• Entretenir une bonne hygiène numérique : il est important d’installer systématiquement les correctifs des applications pour combler les vulnérabilités dès que ceux-ci sont mis à disposition par les développeurs. De même, le fait de refuser tout accès inutile à certaines fonctions ou applications de l’appareil permet de protéger la confidentialité de vos données.
• Sensibiliser les collaborateurs : il existe de bons réflexes à adopter pour identifier une application à risque. Il convient d’abord de regarder sa notation sur le store et de consulter les avis des utilisateurs. Ensuite, il est important de s’assurer que l’application est éditée par un développeur connu et vérifié. Enfin, une attention particulière doit être portée aux permissions demandées : par exemple, une application de gestion de notes professionnelles ou de suivi de projets n’a aucune raison d’exiger l’accès à vos contacts, à vos messages ou à votre localisation en temps réel.

La sécurité des applications et des outils de communication est un enjeu critique pour la protection des données de votre organisation. Notre solution Cryptosmart Mobile permet de mettre en place un écosystème robuste pour sécuriser les smartphones et tablettes destinés à un usage professionnel. Cela est possible grâce à l’intégration de plusieurs dispositifs de sécurité comme le chiffrement intégral du contenu du terminal, un VPN souverain, une protection locale avec le contrôle des ports, ainsi que la gestion des applications autorisées et des permissions qui leur sont associées. Homologué “Diffusion Restreinte”* par l’ANSSI, Cryptosmart Mobile répond aux exigences des environnements sensibles, tout en restant simple à déployer à l’échelle d’une vaste flotte d’appareils.
 

*Renouvellement en cours