Un chercheur en sécurité vient de trouver une nouvelle faille dans le clavier préinstallé sur les Samsung Galaxy qui pourrait mettre en péril près de 600 millions de smartphones. Les appareils incriminés sont les Galaxy Note 4 et Note 3 et les Galaxy S3, S4, S5, S6 et S6 Edge. En résumé, tous ceux qui utilisent SwiftKey.

• A ne pas manquer : pourquoi les problèmes de sécurité sous Android vont empirer

Comme vient de le démontrer l'expert Ryan Welton de la société NowSecure, les mises à jour des packs de langues du clavier ne sont pas envoyées de façon chiffrée mais en texte brut. Une vulnérabilité que Welton est parvenu à exploiter sans la moindre difficulté en envoyant de fausses mises à jour de sécurité via un serveur proxy et en s'assurant que le code malveillant restait sur l'appareil de façon à pouvoir accéder aux données de l'utilisateur sans que ce dernier puisse s'en apercevoir.

Comme il l'a ensuite confié à Forbes, si un hacker parvenait à exploiter cette faille, il aura alors accès à la majorité des données personnelles de l'utilisateur : SMS, contacts et mots de passe. Il pourrait même le surveiller à son insu.

• A lire également : Galaxy S5, votre empreinte digitale peut être volée

Initialement, Samsung avait déjà été averti de l'existence de cette faille en novembre dernier et avait proposé un correctif courant mars pour tous les appareils à partir d'Android 4.2. Toutefois, d'après Welton, celle-ci est toujours présente comme il l'a d'ailleurs récemment démontré lors du Blackhat Security Summit sur un Galaxy S6 (version Verizon).

Nous pouvons confirmer que la faille n'a toujours pas été corrigée sur les Galaxy S6 Sprint et Verizon suite aux tests que nous avons réalisés au cours des derniers jours.

Par ailleurs, toujours d'après NowSecure, même si l'utilisateur utilise un clavier alternatif, le téléphone reste vulnérable, SwiftKey restant, quoiqu'il arrive, installé sur l'appareil. En attendant que Samsung ne propose un nouveau correctif, la société recommande aux utilisateurs de se montrer très prudents.

On notera que pour qu'un hacker parvienne à exploiter cette faille, il devra se trouver sur le même réseau Wifi que l'utilisateur. Dans le cas contraire, il sera dans l'obligation de détourner les DNS, ce qui n'est pas forcément chose aisée.

Via