Permissions abusives

Définition

Les permissions abusives désignent la collecte de données rendue possible par des autorisations accordées à une application, disproportionnées par rapport à la fonction qu'elle remplit.

Comment ça fonctionne

La demande arrive au pire moment pour la réflexion : l'application vient d'être ouverte, l'utilisateur veut s'en servir, et refuser semble empêcher la fonction. Elle est souvent formulée de façon à paraître nécessaire — l'accès aux contacts « pour trouver vos amis », la position « pour améliorer votre expérience ». Une fois accordée, l'autorisation est permanente et silencieuse : rien ne signale les accès ultérieurs, et l'application peut collecter en arrière-plan. Le préjudice n'est pas une intrusion mais une accumulation, souvent revendue à des courtiers en données, où les informations de plusieurs applications se recoupent pour reconstituer des habitudes, des déplacements et un entourage.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Autorisation demandée sans rapport avec la fonction : micro pour une lampe torche, contacts pour un jeu
• Demande formulée au lancement plutôt qu'au moment d'utiliser la fonction concernée
• Application refusant de fonctionner sans une autorisation non essentielle
• Position accordée « toujours » plutôt que « pendant l'utilisation »
• Applications anciennes conservant des autorisations dont vous ne vous servez plus

Comment vérifier

Les systèmes mobiles proposent une vue par autorisation plutôt que par application : ouvrez « position », puis « micro », puis « contacts », et regardez qui figure dans chaque liste. C'est plus révélateur que de parcourir les applications une par une, et cela fait apparaître les oubliées.

Que faire

Accordez au moment de l'usage plutôt qu'à l'installation, préférez « pendant l'utilisation » à « toujours » pour la position, et refusez ce qui n'est pas nécessaire — une application qui cesse alors de fonctionner vient de vous renseigner sur son modèle. Faites une revue périodique, en commençant par les applications que vous n'ouvrez plus.

Si c'est déjà arrivé

Retirez les autorisations superflues, désinstallez les applications inutilisées et réinitialisez l'identifiant publicitaire du téléphone, qui est ce qui relie ces collectes entre elles. Vous pouvez exercer votre droit d'accès et d'effacement auprès des éditeurs concernés.

Questions fréquentes

Est-ce vraiment une attaque, si c'est légal ?

Le procédé n'est pas toujours illégal, et c'est ce qui le rend durable. Il figure ici parce que le résultat pour vous est le même qu'une collecte non consentie : des données que vous n'auriez pas données si la demande avait été formulée clairement.

Refuser une autorisation casse-t-il l'application ?

Rarement pour les fonctions réelles : les systèmes récents permettent un refus sans blocage. Une application qui devient inutilisable après un refus portant sur une fonction accessoire vous indique que la collecte, et non le service, est ce qu'elle vend.

Attaques liées

• Application malveillante
• Attaque par superposition
• Traçage par balise
• Abus d'autorisation « Se connecter avec »
• Traçage publicitaire abusif
• Logiciel espion (spyware)

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement