Un faux WhatsApp à 500 000 installations : la validation de Google Play n’est pas un gage de sécurité

Comment la copie d’une des applications les plus populaires au monde peut-elle récolter un demi-million d’installations sur la boutique à laquelle on vous dit de faire confiance ? C’est pourtant ce qui s’est produit avec un faux WhatsApp sur Google Play. À notre avis, cela met fin à l’idée que « c’est sur la boutique officielle » signifie « c’est sûr ».

Ce qui s’est passé, en bref

Selon Techbook, le faux utilisait la même icône et le même nom que l’original. Il aurait aussi repris les captures d’écran et le texte de description. Le champ du développeur le trahissait: on y lisait « Agment Assets sallu » au lieu de WhatsApp LLC. Mashable India, qui cite Android Authority, ajoute que la fiche n’avait qu’un mois environ. Le développeur n’avait rien publié d’autre, et la vraie appli dépasse les 10 milliards de téléchargements.

Deux détails aggravent les choses. Des captures d’écran partagées sur Reddit suggèrent que le faux apparaissait comme résultat de recherche sponsorisé pour certains utilisateurs. Et il aurait utilisé le programme d’accès anticipé de Google Play, où les avis publics sont désactivés. Les victimes ne pouvaient donc alerter personne. Ce que l’appli fait réellement des données n’est pas expliqué dans les articles que nous avons lus.

La responsabilité est partagée, mais pas à parts égales

Les utilisateurs doivent vérifier le nom du développeur. C’est un réflexe de dix secondes, et il aurait ici démasqué la fraude. Installer une appli nommée WhatsApp venant d’un éditeur que personne ne connaît, c’est prendre un risque. Mais rejeter la faute sur les utilisateurs ne nous paraît pas une réponse satisfaisante. Celui qui cherche WhatsApp s’attend à ce que la boutique affiche WhatsApp en premier. Un emplacement sponsorisé ressemble à une recommandation, même si personne ne l’a voulu ainsi.

Le faux n’apparaissait d’ailleurs pas dans toutes les recherches. Selon Mashable, la vraie appli arrivait parfois en premier. Selon nous, cela rend le piège plus difficile à repérer, pas plus facile. Deux personnes peuvent chercher la même chose et obtenir des résultats différents. Plus personne ne peut alors affirmer: « J’ai regardé, tout était normal. »

Google porte la responsabilité la plus lourde, car il contrôle les trois éléments qui ont fait fonctionner l’arnaque. Il vend l’emplacement publicitaire. Il gère la validation qui a laissé passer la fiche. Et il a conçu un programme qui masque les avis sur les nouvelles applis. Chacune de ces fonctions est raisonnable prise isolément. Combinées, elles ont offert à un compte tout neuf et inconnu une scène, un mégaphone et un bouton muet pour ses détracteurs. Mashable rappelle aussi que Bitdefender avait déjà averti que les applis en accès anticipé n’offrent pas forcément des avis aidant les utilisateurs à juger de leur légitimité. Le risque était connu.

Vérifier l’éditeur, au moins pour les grands noms

Ce n’est pas un incident isolé. Mashable indique qu’un faux Chrome aurait été téléchargé plus de 100 000 fois avant d’être retiré quelques jours plus tôt. Quand la même astuce fonctionne deux fois en quelques jours, nous parlons d’une tendance de fond.

Notre proposition est simple. Si une appli utilise le nom ou l’image d’une grande entreprise, la boutique devrait vérifier que l’éditeur est bien cette entreprise avant la mise en ligne de la fiche. Et aussi avant qu’une publicité puisse être diffusée sur ce nom. Cela paraît faisable et peu coûteux au regard des dégâts. Les applis en accès anticipé qui imitent une marque connue pourraient en outre se voir interdire de masquer les avis, ou au moins afficher un avertissement bien visible.

Nous ne pouvons pas dire à quoi ressemblent les contrôles internes de Google. Mais une fiche restée en ligne plus d’un mois et ayant réuni 500 000 installations suggère qu’ils n’ont pas fonctionné ici. Une poignée de noms, comme WhatsApp ou Chrome, représente une énorme part des recherches. Protéger ces noms est le travail de sécurité le plus rentable qu’une boutique puisse faire. C’est aussi le plus facile à mesurer.

Que faire dès maintenant

Vérifiez que le développeur est bien WhatsApp LLC avant d’installer. Considérez les résultats sponsorisés et les éditeurs inconnus comme des signaux d’alerte. Ne voyez pas dans un nombre de téléchargements la preuve d’une légitimité. Si vous avez installé le faux, désinstallez-le et téléchargez la vraie appli. Le conseil est judicieux, mais il ne devrait pas être l’unique ligne de défense. Notre verdict: les utilisateurs doivent rester vigilants, et Google doit cesser de traiter la vérification d’identité comme facultative pour les marques que tout le monde cherche à imiter.