Go SMS Pro laisse accès à des fichiers (trop) privés de n'importe qui
Go SMS est une application de SMS très populaire, qui a notamment connu son heure de gloire il y a quelques années alors qu’elle proposait de nombreux thèmes et des fonctionnalités en pagaille pour les utilisateurs d’Android. Aujourd’hui néanmoins, elle est plutôt déconseillée, d’autant plus qu’une faille de sécurité sévère vient d’être révélée.
Les fichiers joints ne sont pas en sécurité
Comme découvert en août par les chercheurs en sécurité de Trustwave, lorsque vous envoyez une photo, une vidéo ou un fichier depuis Go SMS Pro, l’application se charge de l’envoyer sur un serveur tandis qu’un lien est envoyé au destinataire afin qu’il puisse en consulter le contenu. Outre le problème évident de stockage, le lien en question est particulièrement vulnérable, puisqu’il s’avère être séquentiel.
Ainsi, dès lors que l’on a un lien, il devient très simple de changer les composants de l’URL pour naviguer au sein des fichiers des autres utilisateurs de l’application. Nous avons nous-mêmes essayé et avons ainsi pu accéder à des fichiers plus ou moins personnels d’inconnus. TechCrunch, de son côté, affirme avoir pu trouver le screenshot d’un virement bancaire, une confirmation de livraison contenant une adresse personnelle ou encore un casier judiciaire.
Il est donc impossible de cibler une personne en particulier pour consulter ses fichiers privés, mais tout ce qui est envoyé reste donc en ligne et accessible à n’importe qui en changeant simplement quelques caractères.
GO SMS averti
Fidèle à ses habitudes, Trustwave a immédiatement averti Go SMS de cette faille de sécurité en leur laissant 90 jours pour réagir. Le développeur de l’application aux millions de téléchargements n’a toutefois pas corrigé ce bug depuis. TechCrunch a contacté les développeurs de l’application afin d’en savoir plus, mais n’a pas reçu de réponse à ses sollicitations.
Quoi qu’il en soit, si vous utilisez Go SMS, nous vous conseillons d’opter pour une autre application de messagerie privée.