Des chercheurs en cybersécurité ont mis en garde mercredi contre les logiciels malveillants dans les messages texte prétendant provenir d'opérateurs de télécommunications, ouvrant une porte aux pirates pour attaquer les smartphones Android.

Un rapport publié par Check Point décrit une "nouvelle classe d'attaques de phishing" qui, en cas de succès, peut permettre aux pirates de voler les e-mails des smartphones Android fabriqués par Huawei, LG, Samsung et Sony.

L'attaque repose sur des messages texte qui semblent provenir d'opérateurs de télécommunications de confiance demandant de mettre à jour les paramètres réseau, selon Check Point.

Autoriser le « over-the-air provisioning » sur un smartphone donnera à l'attaquant l'accès aux e-mails, le rapport a indiqué.

"Lorsque vous rejoignez un nouveau réseau d'opérateurs pour la première fois, vous recevrez un message de bienvenue chaleureux de votre opérateur - ne lui faites pas confiance, ", a déclaré Slava Makkaveev, chercheur en sécurité chez Check Point.

"Simplement, nous ne pouvons plus faire confiance à ces textes."

L'attaque peut être exécutée à grande échelle sans équipement spécial, juste un dongle USB qui peut être acheté pour 10 $ environ, selon Check Point.

Les chercheurs ont déclaré avoir testé l'attaque sur une gamme de smartphones et informé les fabricants d'appareils respectifs de leurs découvertes au début de cette année.

Samsung et LG ont corrigé la vulnérabilité dans les mises à jour logicielles de sécurité, et Huawei prévoyait de faire de même dans sa prochaine génération de smartphones des séries Mate et P, les chercheurs ont dit.

"Bien que des correctifs soient en cours avec des fournisseurs Android nommés, les messages des opérateurs mobiles de confiance sont, En réalité, ne pas faire confiance, ", a soutenu la société de sécurité.

Le rapport intervient quelques jours après que des chercheurs de Google ont signalé une opération de piratage qui a permis aux attaquants d'installer des logiciels malveillants sur l'iPhone sur une période d'au moins deux ans.

Les chercheurs ont également exprimé leur inquiétude au sujet de la fraude « SIM swap » qui permet à un attaquant de prendre le contrôle d'un numéro de téléphone, et potentiellement d'autres comptes, une astuce utilisée dans la brève prise de contrôle du compte Twitter du PDG de la plateforme Jack Dorsey.

© 2019 AFP