Technologies
À la différence des applications web, les applications mobiles hébergent localement des points d’accès API (endpoints) et la logique d’appel, souvent sur des appareils non sécurisés. Cette architecture ouvre une brèche directe aux hackers, leur permettant :
- d’accéder au code source,
- de cloner ou manipuler des applications,
- d’intercepter les interactions utilisateurs,
- et de déclencher des appels API malveillants paraissant légitimes.
Selon Krishna Vishnubhotla, vice-président des solutions produits chez Zimperium :
« Les API ne se contentent pas de faire fonctionner les apps, elles les exposent. Les solutions classiques de sécurité périmétrique sont inefficaces face à ces attaques internes. »
Voici les constats majeurs de l’étude menée :
- 33 % des applications Android et plus de 50 % des apps iOS exposent des données sensibles via leurs API.
- Les attaques "man-in-the-middle" restent efficaces, malgré le SSL pinning :
- 1 application Android sur 3 dans la finance reste vulnérable.
- 1 application iOS sur 5 dans le secteur du tourisme est également exposée.
- 3 appareils sur 1 000 sont déjà compromis,
- Et 1 smartphone Android sur 5 est confronté à des malwares.
- Les outils de falsification côté client sont accessibles et permettent d’intercepter, modifier et rejouer les appels API.
Face à cette menace grandissante, Zimperium appelle les entreprises à revoir leur approche de la sécurité mobile. Deux priorités sont mises en avant :
1. Renforcer les API au cœur même des applications
Cela passe par :
- l’obfuscation du code pour le rendre illisible,
- l’encapsulation sécurisée des tokens,
- des mécanismes de défense en temps réel pour détecter toute tentative d’attaque ou de manipulation.
-
Chaque appel API doit provenir :
-
d’une application originale et intacte,
-
exécutée sur un appareil de confiance (et non un clone, un émulateur ou un téléphone compromis).
Selon Zimperium, l’avenir de la cybersécurité mobile passera par des protections embarquées, capables de neutraliser les menaces à la source — au sein même de l’application mobile.
« Protéger les API mobiles est essentiel pour prévenir les fraudes, éviter les fuites de données et garantir la continuité des services numériques. » conclut Krishna Vishnubhotla.
ChatGPT : la version gratuite pourrait bientôt afficher des publicités
