La guerre contre l’Ukraine a déclenché une réaction massive des pays occidentaux, qui ont notamment imposé des sanctions inédites à l’envahisseur.
En plus des limites bancaires et commerciales exigées par les gouvernements, diverses entreprises ont interrompu leurs activités en Russie ou l’ont complètement quittée. En outre, les technologies russes sont de plus en plus surveillées par l’Occident.
Kaspersky est un exemple. Yandex en est un autre, car le concurrent russe de Google collecte les données des applications de millions d’utilisateurs d’iPhone et d’Android dans le monde.
Selon un nouveau rapport, des milliers d’applications comptant des millions de clients comprennent un SDK Yandex qui permet de collecter les données des utilisateurs d’iPhone et d’Android.
La crainte est que d’autres puissent ensuite utiliser ces données pour suivre les personnes. Yandex pourrait également être tenu de partager ces informations avec le gouvernement russe et ses agences d’espionnage.
Comment fonctionne Yandex sur iPhone et Android ?
Vous pensez que vous n’êtes pas concerné parce que vous n’utilisez pas d’applications ou de services Yandex sur votre iPhone ou votre Android, mais vous vous trompez. Il n’est pas nécessaire d’installer une application Yandex pour que la société récolte vos données.
Au contraire, il vous suffit de vous procurer l’une des milliers d’applications qui utilisent le SDK de Yandex, et certaines de ces données pourraient quitter régulièrement votre appareil à votre insu.
La nouvelle vient du Financial Times (via 9to5Mac), qui rapporte que le chercheur Zach Edwards a été le premier à découvrir les pratiques de collecte de données. M. Edwards a analysé le code Yandex alors qu’il participait à une campagne d’audit des applications pour Me2B Alliance. Quatre experts indépendants ont ensuite effectué des tests pour le Times.
La société Yandex a confirmé qu’elle collectait des informations sur les appareils, les réseaux et les adresses IP des iPhone et des Android. Ces données sont ensuite stockées sur des serveurs en Finlande et en Russie.
L’entreprise a déclaré que les informations sur les métadonnées sont non personnalisées et “très limitées”. En outre, Yandex a admis qu’il est théoriquement possible d’identifier les utilisateurs à partir des données de l’iPhone et d’Android. Elle a précisé que “Yandex ne peut absolument pas le faire”.
Les résultats seraient troublants en temps normal, étant donné que Yandex peut toujours être contraint de travailler avec le gouvernement russe. Cependant, tout cela se passe sur fond de guerre ukrainienne, donc ces inquiétudes sont exacerbées.
Quelles sont les applications Yandex qui collectent des données ?
Le rapport indique que quelque 52 000 apps comptant des centaines de millions d’utilisateurs incluent le SDK de Yandex. Il s’agit du logiciel AppMetrica qui aide les utilisateurs à créer des applications.
Comme d’autres SDK, les outils de Yandex peuvent être mis gratuitement à la disposition des clients. En contrepartie, les développeurs doivent partager les données des utilisateurs.
Selon le Times, toutes sortes d’applications utilisent le code Yandex qui peut extraire les données des utilisateurs d’iPhone et d’Android. Des jeux, des applications de messagerie, des outils de localisation, et même des services VPN.
Quelque sept services VPN créés spécifiquement pour un public ukrainien font partie de la liste. Cela poserait des risques de sécurité importants pour certaines personnes.
La firme a déclaré au site que son SDK fonctionne de manière comparable à Firebase de Google. Que Yandex ne collecte les données de l’iPhone et d’Android qu’après que l’application a reçu le consentement de l’utilisateur. Le SDK ne demande pas typiquement le consentement des utilisateurs pour le suivi. C’est au développeur de le faire, surtout si la loi l’impose.
Ceci pourrait limiter le suivi sur iPhone dans une certaine mesure, car Apple exige des développeurs qu’ils demandent la permission aux utilisateurs pour les suivre en ligne. Android ne dispose pas de protections semblables.
Toutefois, certaines entreprises ont tenté de contourner les dispositifs anti-pistage d’Apple.
De plus, Yandex exploite ses services dans un pays totalitaire. Les experts en sécurité ont donc des raisons de s’inquiéter de ces pratiques de collecte de données, qui pourraient être bénignes sur d’autres marchés.
Selon le Times, certains développeurs ont commencé à retirer le Yandex SDK de leurs applications. C’est le cas du développeur de jeux Gismart ou du navigateur et VPN Opera.
Cependant, plus de 2 000 applications ont ajouté le SDK d’AppMetrica depuis le début de la guerre. Parmi elles, une application de messagerie gratuite pour les Ukrainiens appelée Called Ukraine. L’application peut voir l’identité de l’utilisateur et lire ses contacts. Le développeur indique une adresse électronique fictive basée en Russie.
La seule façon de savoir si vos applications iPhone et Android contiennent des données Yandex est de vérifier auprès des développeurs si leurs applications utilisent le SDK AppMetrica.
Assurez-vous également de ne pas installer d’applications douteuses, même si elles proviennent de sources fiables. Si vous pensez être la cible d’agents étrangers, vous devriez faire très attention aux applications que vous installez sur votre iPhone ou votre Android.
