MtoM Mag - Le journal de l'MtoM.

L’analyse de 17333 applications mobiles utilisées en entreprises révèle une exposition massive des données sensibles. En 2024, plus de 1,7 milliard de personnes ont vu leurs données personnelles compromises, soit une hausse vertigineuse de 312 % en un an. Cette exposition a engendré des pertes estimées à 280 milliards de dollars. Avec la généralisation des politiques BYOD (Bring Your Own Device) en entreprise, les risques liés aux applications mobiles n’ont jamais été aussi élevés.

L’étude de zLabs révèle des failles préoccupantes, qui augmentent les risques de fuite de données sensibles ou stratégiques, de violations de conformité (RGPD, HIPAA, MASVS) et de pertes financières importantes, le coût moyen d’une violation de données atteignant 4,88 millions de dollars par incident :

 65 % des applications analysées utilisent des services cloud souvent mal configurés ;

 92 % des applications analysées, dont 56 % du Top 100, utilisent des méthodes de cryptographie non-conformes ;

 83 applications Android exploitent des stockages cloud mal configurés ou non sécurisés, certaines issues des 100 apps les plus populaires du Play Store ;

 10 applications exposent des identifiants AWS, permettant potentiellement un accès complet aux données sensibles de l’entreprise

 5 % des applications les plus populaires présentent des failles graves : clés cryptographiques codées en dur, utilisation d’algorithmes obsolètes (MD2), générateurs de nombres aléatoires peu fiables, etc.

Bien que souvent attribuées à des tentatives d’intrusion externes, les fuites de données trouvent majoritairement leur origine dans des négligences internes : pratiques de sécurité inadéquates, configurations défaillantes ou processus de gestion des données insuffisants au sein même des applications. Face à ce constat, Zimperium recommande aux entreprises de repenser en profondeur leur approche de la sécurité mobile. Il est impératif qu’elles renforcent la surveillance de leurs applications mobiles en identifiant les mauvaises configurations cloud, en détectant les identifiants exposés, en évaluant les méthodes de chiffrement employées et en vérifiant la sécurité des SDK et composants tiers intégrés.

« Nous ne pouvons pas modifier les applications existantes, mais nous pouvons choisir avec soin celles qui peuvent accéder à nos données », déclare Juan Francisco Bertona, cyber threat analyst chez Zimperium et auteur de l’étude.

https://www.zimperium.com/