Le point sur la sécurité et la vie privée des applications de rencontre en 2021 | Blog officiel de Kaspersky

Le but des applications de rencontre c’est de connaître des gens et de s’amuser et non de communiquer ses données personnes à droite à gauche. Malheureusement, en ce qui concerne les services de rencontre, la sécurité et la vie privée posent problème. Lors du MWC21, Tatyana Shishkova, une chercheuse en sécurité de chez Kasperky a présenté un rapport sur la sécurité des applications de rencontre en ligne. Nous parlerons dans cet article de ce qu’elle a appris à propos de la vie privée et de la sécurité des services de rencontre en ligne les plus utilisés et ce que les utilisateurs peuvent faire pour protéger leur données.

Comment la sécurité des applications de rencontre a évolué ces dernières années

Nos experts ont déjà mené une étude similaire il y a quelques années. Après avoir fait des recherches sur les neuf services de rencontre les plus populaires en 2017, ils sont venus à la conclusion que les applications de rencontre n’étaient pas très sécurisées en ce qui concerne le transfert des données utilisateur, son stockage ainsi qu’en ce qui concerne la facilité d’accès à ces dernières par d’autres utilisateurs. Voici les menaces principales que notre rapport de 2017 a mis en évidence :

• Sur les neuf applications examinées, six d’entre elles ne dissimulaient pas la localisation de l’utilisateur.
• Pour quatre d’entre elles, nous avons pu trouver le vrai nom de l’utilisateur ainsi que ses autres comptes de réseaux sociaux.
• Quatre autres permettaient aux inconnus d’intercepter les données transmises par l’application ; des données qui pouvaient contenir des informations confidentielles.

Nous avons donc décidé de voir comment les choses ont changé en 2021. L’étude s’est focalisée sur les neuf applications de rencontre les plus populaires : Tinder, OKCupid, Badoo, Bumble, Mamba, Pure, Feeld, Happn et Her. Elles ne sont pas exactement pareilles que celles de 2017 puisque le secteur des rencontres en ligne a quelque peu changé. Ceci dit, la liste des applications les plus utilisées est la même que celle d’il y a quatre ans.

La sécurité du transfert et du stockage de données

Le transfert de données entre l’application et le serveur s’est beaucoup amélioré ces quatre dernières années. Premièrement, les neuf applications examinées dans cette édition ont recours au chiffrement. Deuxièmement, elles possèdent toutes un mécanisme pour lutter contre les attaques de type spoofing : si l’application détecte un faux certificat, cette dernière arrête tout simplement la transmission de données. Mamba possède une fonctionnalité supplémentaire : elle affiche un avertissement disant que la connexion n’est pas sécurisée.

Quant aux données stockées sur le dispositif de l’utilisateur, un pirate informatique peut y avoir accès s’il obtient les droits d’accès super-utilisateur. Cependant, ceci est peu probable. De plus, si une mauvaise personne possède les droits d’accès root, cela laisse le service pratiquement sans défense, ce qui fait que le vol des données d’une application de rencontre est le moindre des problèmes.

Mot de passe envoyé par message en texte clair

Deux applications sur les neuf que nous avons analysées – Mamba et Badoo – envoient le mot de passe des utilisateurs venant de s’inscrire par e-mail sous forme de texte en clair. Comme la plupart des gens ne changent pas le mot de passe immédiatement après l’inscription (si jamais ils le font) et qu’ils sont légèrement négligeant en ce qui concerne la sécurité de la messagerie informatique en général, ce n’est pas la meilleure chose à faire. Juste en piratant l’e-mail de l’utilisateur ou en interceptant le mail lui-même, un pirate informatique peut voir le mot de passe envoyé et s’en servir pour se connecter à son compte (à moins que l’application vous permette de paramétrer une authentification à deux facteurs).

Photo de profil obligatoire

L’un des problèmes avec les services de rencontre, c’est que les captures d’écrans des profils ou conversations des utilisateurs peuvent être utilisées à mauvais escient comme pour le doxing, humiliation etc. Malheureusement, Pure est la seule application sur les neuf qui permet de créer un compte sans être obligé de mettre une photo (ce qui fait que le compte vous est difficilement attribuable) ainsi que de facilement désactiver les captures d’écran. Quand à Mamba, cette application offre la possibilité de pouvoir flouter votre photo de profil et ne la montrer qu’aux personnes que vous avez choisies. Certaines des applications de la liste offrent également cette possibilité, mais pas gratuitement.

Applications de rencontre et réseaux sociaux

Toutes les applications en question (à l’exception de Pure) offrent la possibilité aux utilisateurs de se connecter via un compte de réseau social qui est généralement Facebook. C’est en réalité la seule option pour ceux qui ne veulent pas partager leur numéro de téléphone avec l’application. Cependant, si votre compte Facebook n’est pas assez « notoire » (si vous venez de vous inscrire ou que vous avez peu d’amis par exemple), il est possible que vous deviez tout de même fournir votre numéro de téléphone.

Le problème c’est que la plupart des applications prennent automatiquement les photos de Facebook pour les utiliser sur le nouveau compte. Et juste avec une simple photo, on peut facilement relier votre compte sur l’application de rencontre à votre réseau social.

De plus, de nombreuses applications permettent, voire même recommandent de relier leur compte à ceux de leurs réseaux sociaux et d’autres services en ligne comme c’est le cas par exemple d’Instagram et de Spotify pour que les nouvelles photos et les chansons préférées soient automatiquement ajoutées au profil. Bien qu’il ne soit pas sûr à 100 % qu’on puisse identifier un compte dans un autre service, les informations présentes sur les profils d’applications de rencontre peuvent très certainement permettre de trouver quelqu’un sur d’autres sites Web.

Localisation, localisation, localisation

La caractéristique la plus controversée des applications de rencontre est le besoin (dans la plupart des cas) de partager votre localisation. Sur les neuf applications que nous avons analysées, quatre d’entre elles – Tinder, Bumble, Happn et Her – exigent un accès obligatoire à la géolocalisation. Mais seulement trois de ces quatre-là offrent la possibilité de changer manuellement les coordonnées précises de votre localisation pour une localisation régionale, mais uniquement dans la version payante. Happn n’a pas cette fonctionnalité, mais la version payante vous permet de cacher la distance qui vous sépare des autres utilisateurs.

Mamba, Badoo, OkCupid, Pure et Feeld n’exigent pas un accès obligatoire à la géolocalisation et vous donnent la possibilité de préciser votre localisation même dans la version gratuite. Mais ils proposent en effet la possibilité de détecter votre position automatiquement. Nous vous recommandons de ne pas autoriser l’accès à vos données de géolocalisation en particulier sur Mamba car la plateforme peut déterminer votre distance par rapport aux autres avec une précision effrayante : à un mètre près.

Si l’utilisateur autorise l’application à montrer sa proximité, il n’est généralement pas difficile de calculer sa position par triangulation ou grâce à des programmes d’usurpation GPS. Sur les quatre applications qui exigent l’accès à la géolocalisation pour fonctionner, seulement deux d’entre elles – Tinder et Bumble – neutralisent ce genre de programmes.

Points à retenir

D’un point de vue purement technique, la sécurité des applications de rencontre s’est largement améliorée ces quatre dernières années : toutes celles que nous avons analysées ont recours au chiffrement et résistent à une attaque de l’homme du milieu. La plupart de ces applications possèdent un programme de récompense appelé Prime au bogues qui participe à l’élaboration des correctifs des vulnérabilités les plus dangereuses se trouvant dans leurs produits.

Mais en ce qui concerne la vie privée, les choses se gâtent : les applications ne s’intéressent pas vraiment à empêcher les utilisateurs de partager trop d’informations personnes. De nombreuses personnes partagent beaucoup trop de données sensibles les concernant et oublient (ou ignorent) les conséquences que cela peut causer : ils peuvent être victime de doxing, d’harcèlement, de fuites de données etc.

Bien évidemment, le fait de partager trop d’informations n’est pas propre qu’aux applications de rencontre, les réseaux sociaux ne sont pas des saints non plus. De par la nature particulière des applications de rencontre, ces dernières encouragent les utilisateurs à partager des informations qu’ils n’auraient pas partagé ailleurs. De plus, ce genre de services possèdent généralement peu de contrôle sur l’identité des personnes avec lesquelles les utilisateurs partagent ces données.

Par conséquent, nous recommandons aux utilisateur des applications de rencontre (et autres) de bien faire attention à ce qu’ils partagent.