Google a démarré des dizaines d’applications Android à partir du Google Play Store après avoir constaté que les applications comprenaient une ligne de code qui récoltait discrètement les données des utilisateurs.
Selon le Wall Street Journal, certaines des applications maintenant interdites étaient des applications de prière musulmane téléchargées plus de 10 millions de fois. Une application populaire de détection de pièges de vitesse sur autoroute et une application de lecture de codes QR ont également été trouvées pour inclure le code de récupération de données. Les chercheurs auraient lié la société panaméenne responsable du code à une société basée en Virginie qui travaille avec les agences de sécurité nationale américaines.
La ligne de code, partie d’un SDK développé par Systèmes de mesure S. De R.L., recueillait des données riches, y compris des informations de localisation précises, des numéros de courriel et de téléphone, des appareils à proximité et des mots de passe lorsque les utilisateurs utilisaient une fonction de « copier-coller ». Il pourrait également rechercher des téléchargements WhatsApp, selon les chercheurs. La société n’a pas chiffré ou autrement obscurci les identifiants personnels, ce qui peut enfreindre les lois sur la confidentialité des données.
Google a interdit les applications le 25 mars, a déclaré le porte-parole Scott Westover au Wall Street Journal, et autorise les applications à revenir sur le Google Play Store une fois qu’elles ont supprimé le code. Plusieurs sont déjà de retour en ligne et disponibles à l’achat.
Deux chercheurs, Serge Egelman de l’International Computer Science Institute de l’UC Berkeley et Joel Reardon de l’Université de Calgary, ont découvert le SDK et publié leurs résultats dans un rapport Mercredi. Le rapport a été partagé avant sa publication avec le Wall Street Journal, Alphabet et la Federal Trade Commission.
Les chercheurs ont également découvert que Measurement Systems est lié à Vostrom Holdings Inc., basée en Virginie, dont la filiale Packet Forensics LLC travaille avec le gouvernement fédéral sur le cyberintelligence.
En 2020, Carte mère a rapporté que le gouvernement américain avait acheté des données de localisation précises collectées via plusieurs applications, dont Muslim Pro. L’ACLU plus tard, il a déposé pour trois ans des données achetées par le gouvernement américain, qualifiant ses efforts de collecte de données de « menace sérieuse pour la vie privée et la liberté religieuse ». Craintes persistantes que les musulmans soient ciblés pour la collecte de données restent encore, en particulier à la lumière des documents documentés surveillance des musulmans par le gouvernement américain à la suite des attentats terroristes du 11 septembre.
Le département américain de la Défense a refusé de discuter des détails du Journal, bien qu’il ait précédemment admis qu’il achetait des données accessibles au public à des fins de sécurité nationale.
Correction : Cet article a été mis à jour pour corriger l’orthographe de Vostrom Holdings Inc. Cet article a été mis à jour le 6 avril 2022.
