Les appareils et les applications mobiles sont devenus les canaux digitaux les plus critiques à protéger dans l’entreprise : 71 % des employés utilisent des smartphones pour leurs tâches professionnelles et 82 % des sites de phishing ciblent désormais les appareils mobiles des entreprises[1]. Plus que jamais, la sécurité mobile est un enjeu majeur pour les entreprises.
 
Idée reçue N°1 : Tous les appareils Android et iOS sont intrinsèquement sûrs

Bien qu'Android et iOS soient dotés de fonctions de sécurité intégrées, ils ne sont pas à l'abri des menaces. La sécurité des appareils mobiles dépend fortement des mises à jour régulières, du comportement des utilisateurs, de la supplychain et d'autres facteurs échappant au contrôle des fabricants d'appareils. Même les systèmes d'exploitation les plus sûrs peuvent, en effet, être compromis par des vulnérabilités non corrigées ou des applications malveillantes.

Les appareils mobiles ne sont pas intrinsèquement fiables et leur niveau de risque évolue quotidiennement. Bien que les solutions traditionnelles de sécurité mobile aient progressé, elles n'ont pas été en mesure de suivre le niveau de risque dynamique de l'appareil. Une solution MTD (Mobile Threat Defense) peut aider les entreprises à évaluer leurs appareils en temps réel, à contenir les menaces sur l'appareil, à désactiver l'accès par le biais d'un EMM et à déclencher des workflows d'atténuation en aval via des systèmes SIEM/SOAR. 
 
Idée reçue N°2 : Les app stores sont garants de la protection contre les malwares et protègent les applications mobiles.

Bien que les App Stores détectent les applications malveillantes, ils ne peuvent pas garantir la sécurité d’une application ni empêcher d'autres applications de présenter des comportements malveillants. La plupart des codes malveillants sont téléchargés et activés uniquement après le démarrage de l’application sur l'appareil, contournant ainsi les politiques de ces plateformes. De plus, ces App stores ne surveillent généralement pas si des données sont exfiltrées ou si le partage de données non autorisé avec des pays tels que la Russie et la Chine ont lieu, ce qui présente un niveau de risque supplémentaire pour les développeurs d'applications et les utilisateurs. 

Les développeurs d'applications mobiles doivent donc prendre en charge la sécurité de leurs applications en intégrant des mesures de sécurité robustes tout au long du cycle de vie de l'application. Ils doivent aider à identifier les vulnérabilités pendant le développement et s'assurer qu'ils peuvent les protéger sur les App stores.
 
Idée reçue N°3 : La sécurité sur les serveurs suffit à sécuriser les données sur les appareils mobiles

Les applications mobiles traitent, stockent et accèdent à des données sensibles directement sur l'appareil, ce qui les rend vulnérables aux fuites de data. S'appuyer uniquement sur des solutions de sécurité côté serveur, comme l'inspection du trafic réseau et la vérification de l'identité, ne suffit pas à sécuriser les applications mobiles et leurs données. Les appareils mobiles et les émulateurs peuvent facilement usurper le trafic pour contourner ces défenses. Et avec les techniques avancées actuelles, la plupart des applications ne peuvent pas déterminer si elles fonctionnent normalement ou si elles sont jailbreakées, rootées ou s’il s’agit même d’émulateurs. Cela crée un angle mort majeur pour les systèmes EDR (Endpoint Detection and Response) traditionnels, en particulier lorsque des attaques avancées telles que l'exfiltration de données, le mishing ou le détournement d'OTP se produisent depuis l'appareil. 

Pour sécuriser efficacement les appareils et les applications mobiles, les entreprises doivent mettre en œuvre des solutions de sécurité spécifiques aux appareils mobiles qui vont au-delà des protections côté serveur. Cela inclut des mesures de sécurité sur l'appareil telles que le renforcement des applications, la défense contre les menaces mobiles (MTD) et l'autoprotection des applications en cours d'exécution (RASP). Ces technologies détectent et atténuent les menaces directement sur l'appareil, en empêchant l'usurpation de trafic, la falsification et l'accès non autorisé. En combinant la sécurité côté serveur et la sécurité sur l'appareil, les entreprises peuvent créer une défense plus complète contre les menaces mobiles sophistiquées.
 
Idée reçue N°4 : MDM et MAM sont synonymes de sécurité mobile

Les MDM et MAM permettent principalement de provisionner et de gérer les appareils et les applications avec une sécurité de base, mais ils n'offrent pas de protection contre les attaques mobiles avancées. Une fois qu'un appareil est compromis, la plupart de ces mécanismes peuvent être contournés.

Il est important pour les entreprises d’adopter une stratégie complète de sécurité des endpoints afin d’être en mesure de protéger leurs données, de respecter les normes de conformité et d'obtenir une adoption totale de la part des utilisateurs, garantissant la protection contre les risques liés à la mobilité.
 
Idée reçue N°5 : La protection des messageries professionnelles suffit à prévenir le smishing, le phishing et autres risques.

L'hameçonnage mobile (mishing) va bien au-delà de la messagerie professionnelle et cible les utilisateurs par SMS (smishing), appels vocaux (vishing), QR code (Quishing) et autres sites malveillants. De plus, le phishing, qui ne s’exécute que lorsqu’il est activé sur un appareil mobile, est de plus en plus fréquent. Les stratégies Zéro Trust pour les appareils mobiles doivent prendre en compte tous ces vecteurs pour protéger véritablement l'entreprise.

Des solutions de sécurité qui s'étendent au-delà des applications professionnelles sur un appareil peuvent aider les entreprises à se protéger contre tous les types de mishing.
 
Les entreprises qui vont au-delà des réalités qui se cachent derrière ces idées reçues sont capables de prendre des mesures éclairées et proactives pour sécuriser les appareils mobiles. Rester vigilant et informé est primordial ; la sécurité mobile est un processus continu qui nécessite une attention et une adaptation permanentes.

Infobip, société mondiale de communications cloud omnicanales, présente dans un nouveau rapport, les défis de sécurité auxquels les entreprises et les opérateurs de réseaux mobiles (ORM) sont confrontés au sein de l'écosystème de la messagerie d'application à personne (A2P). La société explique également son rôle de co-gardien de l'écosystème A2P avec les ORM, en aidant à protéger les marques et les utilisateurs mobiles grâce à son pare-feu.
 
Les interactions entre les marques et les consommateurs ayant majoritairement lieu sur les canaux numériques, il est essentiel de garantir la sécurité et la confidentialité de ces communications afin d'offrir une expérience client optimale. Cependant, en parallèle de la forte croissance du marché de l’A2P, qui atteindra 29 milliards de dollars d'ici 2024, la fraude et les pertes de revenus qui en découlent, sont également en augmentation. C'est pourquoi, toutes les organisations de l'écosystème A2P doivent impérativement se montrer capables de protéger les utilisateurs de téléphones mobiles et les consommateurs en assurant une communication sécurisée.
 
Infobip, qui exploite un pare-feu omnicanal très avancé, a identifié cinq défis critiques en matière de sécurité que les ORM et les entreprises doivent relever :
 

• Trafic artificiellement gonflé : la fraude du gonflement artificiel du trafic utilise des bots pour générer des demandes ponctuelles de code PIN afin d'engendrer des coûts indus et de profiter financièrement au fraudeur.
• Flubot : il se diffuse comme la grippe, commençant par un lien frauduleux conduisant les utilisateurs vers un site malveillant pour télécharger une application ou une mise à jour de sécurité, infectant le téléphone avec un virus.
• Smishing : le phishing par SMS, ou smishing, consiste, pour les fraudeurs, à pousser les consommateurs à révéler des données sensibles qui sont ensuite utilisées à mauvais escient. Selon RoboKiller, ce type de fraude coûte un total de 10,1 milliards de dollars aux consommateurs.
• Routes grises : entre les « routes blanches » et les « routes noires », elles contournent les systèmes de tarification des ORM pour acheminer les messages aux utilisateurs finaux, ce qui coûte des revenus aux ORM et laisse les utilisateurs mobiles sans protection contre les risques liés à la sécurité et à la vie privée.
• Spam : messages non sollicités auxquels sont confrontés les utilisateurs de téléphone mobile et les consommateurs depuis un certain temps.

 

Cédric Gonin, VP Global Business Support chez Orange International Carriers, déclare : « En tant que fournisseur de connectivité de premier plan répondant aux besoins des opérateurs et des fournisseurs de contenu dans le monde entier, Orange International Carriers sécurise le trafic international téléphonique et de messagerie de ses clients et partenaires depuis des décennies. Nous avons assisté à une augmentation constante du nombre d’attaques au fil des ans, les fraudeurs perfectionnant constamment leur technique, et de nouveaux types de fraude apparaissant, il en résulte des pertes financières et une atteinte à la réputation des opérateurs de télécommunications et des entreprises, impactant émotionnellement l'utilisateur final. Orange et Infobip/Anam ont donc mis à profit leur expertise commune en matière de sécurité des télécommunications pour développer une solution robuste de protection des SMS A2P, qui identifie les risques actuels et émergents et protège de manière proactive les opérateurs de télécommunications, les entreprises et les utilisateurs sur la plupart des canaux ».

 
Pour protéger les consommateurs, Infobip recommande aux ORM de travailler avec des fournisseurs de messagerie bien établis ayant des relations directes avec les grandes marques, et de protéger leur écosystème A2P par l’intégration de solutions de pare-feu techniquement supérieures. Infobip appelle également à une modification de la réglementation, afin de supprimer les restrictions imposées aux ORM qui utilisent des modules particuliers tels que l'analyse de contenu, pour protéger les utilisateurs contre différents scénarios de fraude, en particulier en Europe. L'analyse de contenu est essentielle pour améliorer les normes de sécurité tout en assurant la protection de la vie privée. Pour les entreprises, Infobip recommande d'utiliser des fournisseurs de messagerie qui ont des connexions directes avec les ORM, protégeant ainsi la sécurité et la vie privée des consommateurs, grâce à des plates-formes de communication dotées d'une infrastructure mondiale.
 

Matija Ra�em, vice-président du développement commercial chez Infobip, déclare : « En tant que principal acteur du marché des pare-feu SMS, nous prenons au sérieux notre responsabilité de protéger les opérateurs de réseau mobile, les entreprises et les consommateurs. Mais nous sommes tous les co-gardiens de l'écosystème de la messagerie A2P. Alors que les fraudeurs se perfectionnent de plus en plus, nous pouvons réduire la fraude A2P grâce à un effort combiné de toutes les parties concernées. Le système étant aussi solide que son maillon le plus faible, les opérateurs de réseaux mobiles et les entreprises doivent investir dans leur sécurité et adopter les technologies les plus récentes pour lutter contre les fraudeurs et protéger leurs clients et leurs activités. C'est pourquoi nous avons développé des fonctionnalités telles que l'anonymisation des données, où notre pare-feu sépare les données sensibles des clients du contenu, afin que la vie privée des clients ne puisse pas être compromise ».

 
Infobip a été élu meilleur pare-feu SMS par les opérateurs de réseaux mobiles durant quatre ans d’affilée. Son pare-feu Anam Protect contribue à protéger quelque 120 réseaux d'ORM, co-gardiens de l’écosystème de messagerie, et 1,2 milliard d'utilisateurs de téléphones mobiles. Chaque mois, l’entreprise traite un volume d’environ 63 milliards de transactions via ses solutions de pare-feu et bloque plus d'un milliard de messages frauduleux. Elle dispose de plus de 800 connexions directes avec les opérateurs de réseaux mobiles, permettant à leurs clients de bénéficier d'une sécurité accrue et d'une connectivité de haute qualité. Outre son pare-feu SMS, Infobip a lancé officiellement Signals dans le cadre de son portefeuille de solutions de sécurité pour les télécoms, qui se distinguent par l'utilisation de technologies avancées telles que l'apprentissage automatique pour détecter et bloquer avec précision le trafic frauduleux.

Si les internautes sont sensibilisés aux problèmes de « phishing » par mail, avec des arnaques plus ou moins sophistiquées, ils peuvent se laisser surprendre par des SMS arrivant directement sur leur téléphone portable.
 
Et depuis quelques mois, ce « phishing par SMS », également appelé « SMiShing », monte en puissance, notamment avec des messages liés à des commandes e-commerce (colis non reçu, suspension d’abonnement, etc..), et invitant les internautes à saisir leurs coordonnées postales.. et bancaires.
 
Selon Amélia Newson-Davis, directrice des services messaging, identité et paiements chez Orange France, près d'un tiers des messages frauduleux actuels concernent d'ailleurs des arnaques à la livraison. 
 
Si les opérateurs parviennent à filtrer une grande partie des messages frauduleux, envoyés automatiquement par des plates-formes utilisant des numéros courts, la tâche est beaucoup plus complexe quand ces SMS sont envoyés par de simples particuliers, depuis leurs propres téléphone mobiles.
 
Pour faire face à ce nouveau fléau, les opérateurs invitent les consommateurs à faire preuve de prudence, en détectant les SMS frauduleux, généralement envoyés par des SMS avec un numéro long, et comportant un lien web « exotique », ne correspond pas au véritable nom de domaine du service.
 
Outre cette démarche personnelle, les opérateurs ont également mis en place la plateforme, le "33700", qui permet aux consommateurs de dénoncer les émetteurs de SMS frauduleux, ce qui devrait conduire au filtrage, voire à la suppression des numéro incriminés.
 
Enfin, l’ARCEP, l’autorité de régulation des télécommunications vient de mettre en place un nouveau plan de numération visant à interdire l’usage de numéros longs en 06 ou 07 pour les usages marketing.
 
Des démarches qui n’éradiqueront pas le SMiShing, mais qui pourraient sérieusement compliquer la vie des fraudeurs.

@jerome75012 3 astuces pour se protéger du #smishing ♬ son original - Jérôme Bouteiller

Selon le Parisien, deux hommes de 29 et 54 ans ont été mis en examen fin août, pour avoir organisé une vaste escoquerie de phishing par SMS (« SMSishing »), visant à récupérer les coordonnées bancaires de leurs victimes, en se faisant passer pour la Sécurité Sociale.

Selon les premiers élèments de l’enquête, les deux escrocs exploitaient 25 ordinateurs, 77 téléphones mobiles, des centaines de cartes SIM, et auraient extorqué plus de 100 000 euros auprès de « plusieurs centaines de victimes ».

En février dernier, la société CM.com, spécialisée dans le messaging mobile, avait d’ailleurs publié une alerte de sécurité, pointant le routage de SMS non sécurisés (« routes grises ») par les opérateurs, et la nécessité pour le marché de se tourner vers de nouveaux SMS vérifiés, permettant de certifier l’émetteur du message.