Lors de la conférence Ekoparty qui se déroulait hier, un chercheur travaillant à l'Université de Berlin mettait en évidence une faille de sécurité au sein des Galaxy SII de Samsung. Celle-ci permet d'effacer l'intégralité de vos données personnelles à distance. Si le cas du Galaxy SII est déjà important, d'autres smartphones, équipés de la surcouche TouchWiz du Sud-Coréen, semblent aussi impactés par le problème.
Pour arriver à ses fins, Ravi Borgaonkar s'appuie sur les codes USSD (comme le fameux « *#06# »), qui sont détenus par les constructeurs et qui permettent de réaliser certaines actions au sein d'un téléphone. Dans le cas, de son utilisation, le chercheur utilise celui de Samsung qui permet de réinitiliaser le terminal à ses valeurs d'usine. Le code est le suivant (qui n'a rien de neuf et qui était déjà connu) :
*2767*3855#
D'après Borgaonkar , il serait possible de l'envoyer via trois solutions :
- par SMS en mode « Wap Push », c'est-à-dire avec un message contenant un lien cliquable qui renvoie vers le navigateur par défaut
- via un QR-Code
- par le NFC, qui ouvre directement les URL par défaut dans le navigateur sans contrôle de l'utilisateur
Chacune des méthodes ci-dessus permet de renvoyer vers un site qui disposerait d'une iframe ou d'un script spécifique qui comprendrait le fameux code USSD, et qui effacerait donc le terminal à distance. Aucune confirmation n'est alors demandée à l'utilisateur avant de procéder au nettoyage intégral de ses données personnelles, et le grand ménage est réalisé automatiquement et très rapidement. De plus, aucune possibilité de revenir en arrière ou de bloquer le processus n'est possible.
Notez que d'autres smartphones de Samsung seraient aussi touchés par cette faille, tous comprennent la surcouche TouchWiz, mais cela semble également dépendre de celle de l'opérateur. En effet, nos confrères de The Verge nous indiquent que cela fonctionne sur un Galaxy SIII de chez AT&T, tandis que Tweakers.net a réussi cette manipulation sur un Galaxy S Advance. Notez que problème pourrait toucher d'autres constructeurs au passage.
De notre côté, nous avons tenté l'expérience via plusieurs méthodes sur notre Galaxy SIII en utilisant une iframe au sein de nos navigateurs (Chrome ou celui par défaut d'Android 4.0) ou en utilisant un script. Cependant, dans les deux cas, nous n'avons pas réussi à reproduire la manipulation que vous pourrez découvrir ci-dessous.
Nous avons alors tapé le code directement au sein de la partie téléphonie et là... nos données se sont bien volatilisées en l'espace de quelques secondes... et sans intervention possible.
Si vous n'avez pas peur de tenter la même expérience, n'hésitez pas à nous faire savoir au sein des commentaires si cette manipulation fonctionne de votre côté. Pensez bien à faire une sauvegarde avant de vous lancer. Nous avons contacté Samsung pour avoir leur point de vue sur le sujet, et nous attendons leur retour.
