Les services en ligne exigent souvent que vous saisissiez un code unique envoyé à votre numéro de mobile afin de vérifier votre compte. Cependant, que se passe-t-il lorsque vous n’avez pas de numéro de téléphone ou que vous vivez dans un pays où une application ou un service particulier est interdit ?
Dans ce cas, de nombreux utilisateurs se tournent vers des numéros virtuels pour recevoir un code à usage unique afin de pouvoir vérifier leurs nouveaux comptes, mais ces numéros virtuels doivent cependant provenir de quelque part.
Un chercheur en sécurité de la société de cybersécurité Evina a découvert une fausse application SMS pour Android qui utilise secrètement les numéros de téléphone de ceux qui l’ont installée pour envoyer des codes à usage unique à d’autres utilisateurs selon BipOrdinateur (s’ouvre dans un nouvel onglet).
Piratage de numéros de téléphone pour aider les autres à vérifier leurs comptes
L’application en question s’appelle Symoo et a été téléchargée plus de 100 000 fois. Au moment d’écrire ces lignes, il n’est plus disponible sur le Google Play Store. Pourtant, il a une note de 3,4 étoiles même si de nombreux utilisateurs se sont plaints qu’il est faux.
Après avoir été installé sur l’appareil d’un utilisateur, Symoo demande l’autorisation d’envoyer et de lire des messages texte, ce qui n’est pas surprenant puisque la description de l’application indique qu’il s’agit d’une « application SMS à utilisation simple ». L’application demande alors à l’utilisateur de fournir son numéro de téléphone et un faux écran de chargement apparaît en superposition. Pendant ce temps, les créateurs de cette application malveillante envoient plusieurs authentifications à deux facteurs (2FA) des messages texte pour aider les autres à créer et vérifier de nouveaux comptes en ligne.
Une fois que le faux écran de chargement disparaît, l’application se fige et ceux qui l’ont installée ne peuvent pas l’utiliser aux fins prévues. Alors que la plupart des utilisateurs désinstallent ensuite Symoo, le mal est déjà fait puisque les cybercriminels derrière ont déjà votre numéro de téléphone.
Symoo n’est pas la seule application à le faire car le chercheur en sécurité qui l’a découvert, Maxime Ingrao a également découvert que les données SMS qui en étaient extraites étaient envoyées à un domaine utilisé par l’application Virtual Number. Tout comme Symoo, il a été supprimé du Play Store.
Comment rester en sécurité si vous avez téléchargé cette fausse application SMS
Si vous avez téléchargé Symoo ou toute autre application SMS suspecte, vous devez les supprimer immédiatement. Comme je l’ai déjà mentionné, le mal est déjà fait puisque votre numéro de téléphone est entre les mains de cybercriminels. En tant que tel, vous voudrez peut-être envisager changer de numéro si vous ne voulez pas être constamment interrompu par des codes à usage unique d’autres utilisateurs essayant de créer des comptes.
En même temps, vous devez être très prudent lorsque vous téléchargez de nouvelles applications sur votre smartphone Android. Alors que Google Play Protect est capable d’analyser les nouvelles applications et toutes celles installées sur votre appareil à la recherche de logiciels malveillants, on ne peut pas en dire autant des escroqueries plus élaborées comme celle-ci. Cependant, pour une protection supplémentaire contre d’autres menaces, vous pouvez envisager d’installer l’un des meilleures applications antivirus Android.
Lorsqu’il s’agit de protéger votre numéro de téléphone, vous voulez éviter de le donner librement et au lieu d’applications SMS tierces, vous devez utiliser celle qui est installée avec votre téléphone. Bien qu’il existe des applications de messagerie texte réputées pour Android, cela ne vaut tout simplement pas le risque que votre numéro de téléphone mobile soit exposé en ligne.