http://ift.tt/2yQJqgu

Deux applications préinstallées sur des appareils Wiko envoient des données sensibles à sa maison-mère en Chine sans que l’utilisateur ne puisse vraiment y remédier.

Les applications préinstallées ne sont jamais vraiment très appréciables sur un téléphone. Quand, en plus de cela, elle sont cachées aux yeux de l’utilisateur et envoient des données sensibles à un tiers sans son accord, on commence à se rapprocher de ce que l’on peut appeler un scandale.

Commençons par le début : le développeur Elliot Alderson a posté une série de message sur Twitter dans lesquels il explique comment deux applications — ApeSaleTracker et ApeStsMonths — présentes par défaut sur des appareils Wiko, envoient chaque mois diverses informations à une entreprise chinoise nommée Tinno Mobile Technology, maison-mère de Wiko.

Hi @WikoMobile ! Let's talk about the ApeSaleTracker and ApeStsMonths apps found in your phones.
These apps are pre-installed system apps which send regularly and silently the user infos to a Chinese 3rd party called Tinno by HTTP or SMS without user consent

— Elliot Alderson (@fs0c131y) November 19, 2017

Suite à cela, nous avons nous-même fouillé dans des Wiko View et View XL. Les applications ont accès aux permissions suivantes :

• lire et écrire des SMS
• Internet
• Accès à la position (non précise) du téléphone
• Infos sur le téléphone

Diverses données envoyées

En exploitant ces permissions, les applications envoient l’IMEI, le numéro de client, le modèle, l’antenne relais utilisée et le numéro de version. Elliot Alderson indique que Wiko peut envoyer ces informations par SMS, mais d’après nos observations, les données sont transférées uniquement via Internet (même si les applications ont l’autorisation d’envoyer des SMS).

Vous pouvez avoir un aperçu de ces logiciels de tracking en allant dans l’application Téléphone et en tapant sur le clavier numérique *#*#2374#*#* ou *#*#2376#*#*. Vous verrez s’afficher un des deux écrans ci-dessous :

Ces analyses sont relativement inquiétantes, mais on pourrait contre-argumenter en affirmant que les données envoyées pour l’instant ne sont pas « trop » confidentielles. Néanmoins, il suffirait d’une simple mise à jour logicielle pour que ces applications puissent accéder à davantage d’informations telles que la géolocalisation précise de l’utilisateur. Et le gros problème dans tout cela, c’est que pour l’instant on ne sait pas encore si le propriétaire peut l’empêcher ou non.

Au démarrage de l’appareil, lors de la première configuration, un écran prévient que des données anonymes peuvent être collectées. Là où cela coince c’est que, comme nous l’avons vu plus haut, les fameuses données ne sont pas vraiment anonymes. Et selon qu’on clique sur « Accepter » ou sur « Continuer », les « Services Wiko » sont activés ou non. Mais on ne sait pas vraiment si désactiver les Services Wiko désactive ou non les applications STS incriminés. On vous explique cela plus en détail ici.

Dans l’attente d’une réponse

Nous avons contacté Wiko afin d’en savoir plus et notre contact au sein de la marque est actuellement en train de se renseigner auprès du responsable R&D de l’entreprise, à Marseille. Nous mettrons cet article à jour dès que nous aurons une réponse officielle.

Cette découverte n’est pas sans rappeler la récente affaire, très similaire, concernant les indiscrétions de OnePlus et d’OxygenOS.

À lire sur FrAndroid : Pointé du doigt, OnePlus s’explique sur les indiscrétions d’OxygenOS