Une application iOS expose les données de 42 000 utilisateurs, révélant une faille systémique dans la sécurité des applications mobiles.

L’équipe de recherche de Cybernews a mis en lumière une faille de sécurité majeure concernant l’application iOS « Ma liste de livres – Gestionnaire de bibliothèque ». Cette application, utilisée par 42 000 personnes, a divulgué des données sensibles via une base de données Firebase mal configurée. Parmi les informations exposées figurent des listes de livres, des noms, des adresses e-mail, des adresses IP, l’historique des achats et les métadonnées des appareils.

Des données en apparence anodines, mais aux conséquences graves

À première vue, la divulgation de simples titres de livres peut sembler inoffensive. Cependant, les données exposées par « Ma liste de livres » représentent une véritable mine d’or pour les cybercriminels. Elles permettent de mener des escroqueries par hameçonnage (phishing) ciblées, en exploitant les informations de localisation et les habitudes d’utilisation des appareils. Les cybercriminels peuvent ainsi extraire des données en temps réel, rendant les attaques plus précises et difficiles à détecter.

Un problème systémique dans les applications iOS

Cette fuite de données n’est pas un cas isolé. Selon une enquête de Cybernews, qui a analysé 156 000 applications iOS, 71 % d’entre elles divulguent au moins un secret sensible. L’application « Ma liste de livres » va encore plus loin en exposant des clés API, des identifiants de clients et des jetons, codés en dur dans l’application. Cette pratique dangereuse pourrait permettre aux attaquants d’accéder aux infrastructures backend, mettant ainsi en péril les utilisateurs et les systèmes.

Des risques accrus pour les utilisateurs

L’accès aux données divulguées permet aux cybercriminels de créer des escroqueries extrêmement ciblées. Par exemple, une adresse IP exposée peut révéler la localisation approximative d’un utilisateur, permettant aux escrocs de personnaliser leurs messages pour les rendre plus convaincants. De plus, les métadonnées des appareils peuvent être utilisées pour adapter les attaques aux habitudes des utilisateurs, rendant les escroqueries encore plus difficiles à repérer.

Pour en savoir plus : Pour consulter l’intégralité de l’étude de Cybernews, cliquez ici.