Pourquoi les développeurs d'applications mobiles iOS ont-ils besoin d'une sécurité accrue ?

Avec l'introduction de l'iOS 17.4, Apple a commencé à autoriser les utilisateurs de l'Union européenne à télécharger des applications à partir de sources autres que l'Apple Store. Bien que cette mesure soit destinée à répondre aux exigences réglementaires en matière d'ouverture et de concurrence, elle introduit de nouveaux vecteurs de risques potentiels pour la sécurité. 

Apple elle-même s'est inquiétée du fait que le chargement latéral pourrait compromettre les normes de sécurité et de confidentialité auxquelles les utilisateurs d'iOS sont habitués. Malgré ces changements, Apple met en œuvre des mesures de protection pour maintenir un niveau de sécurité et de conformité aussi élevé que possible, mais l'augmentation de la surface d'attaque ne peut être ignorée. 

En outre, plusieurs vulnérabilités récentes ont montré que même les écosystèmes les plus sûrs peuvent être exploités :

• Le logiciel malveillant GoldPickaxe pour iOS et Android - Il démontre la sophistication des cybercriminels dans la conception d'attaques qui contournent les mesures de sécurité biométriques. En incitant les victimes à fournir des informations personnelles et des scanners faciaux, les attaquants créent des faux pour accéder aux comptes bancaires, montrant que même les contrôles de sécurité avancés peuvent être déjoués avec suffisamment d'ingéniosité.
• Opération Triangulation - En utilisant un exploit de type "zéro clic" dans iMessage, cette campagne a installé un logiciel espion sans interaction avec l'utilisateurCette campagne a permis d'installer un logiciel espion sans interaction avec l'utilisateur, montrant ainsi que des attaques sophistiquées peuvent passer inaperçues tout en compromettant la confidentialité et la sécurité des appareils iOS.
• Faux mode de verrouillage - La recherche sur le faux mode de verrouillage démontre une preuve de concept de la technique d'altération post-exploitation d'altération post-exploitation. Elle permet aux logiciels malveillants de tromper les victimes en leur faisant croire que leurs iPhones sont en mode verrouillage.
• Logiciel espion Predator - Disponible à la fois sur iOS et Android, Predator offre une suite de fonctionnalités pour le vol d'informations, la surveillance et l'accès à distance. Sa capacité à affaiblir les défenses en bloquant certaines applications met en évidence la complexité des menaces qui pèsent sur les appareils mobiles aujourd'hui.
  
• Fausse application LastPass - Apple a récemment retiré une fausse application LastPass de l'Apple Store et a également banni son développeur. Les rapports indiquent que même si l'application falsifiée n'apparaissait pas en tête des résultats de recherche, elle a tout de même été téléchargée par des utilisateurs et a même fait l'objet d'évaluations négatives.
• Vulnérabilités de type "jour zéro - Apple a récemment divulgué deux vulnérabilités iOS, CVE-2024-23225 et CVE-2024-23296, corrigées dans les mises à jour iOS 17.4 et iPadOS 17.4. Ces failles, qui affectent les nouveaux modèles d'iPhone et d'iPad, impliquent une corruption de la mémoire dans le noyau et RTKit. Il s'agit des deuxième et troisième problèmes de type "zero-day" traités dans 2024, après la mise à jour de janvier.

Au vu de ces exemples, il est clair que même si iOS offre une plateforme hautement sécurisée, il existe des vulnérabilités et des cyberattaques sophistiquées. Il est essentiel que les développeurs d'applications mobiles adoptent une approche plus proactive de la sécurité, car s'appuyer uniquement sur les fonctions de sécurité inhérentes à iOS ou sur le processus d'évaluation de l'Apple Store peut s'avérer insuffisant.