L’ANSSI alerte sur les risques liés à Pokémon Go

Devant l’ampleur du phénomène (près de 100 millions de téléchargements), l’application Pokémon Go pose quelques problèmes de sécurité. L’ANSSI  (en quelque sorte le Gardien de la sécurité des Systèmes d’Information des Organisme d’Importance Vitale, des Organes et Entreprise de l’état Français selon Denis JACOPINI expert Informatique assermenté spécialisé en cybercriminalité) ne pouvait pas rester sourde à cette question et vient de publier via le CERT-FR un bulletin de sécurité dédié aux « cyber-risques liés à l’installation et l’usage de l’application Pokémon Go ».

Applications malveillantes et collectes de données

Dans ce bulletin, il est rappelé qu’avec le succès, de nombreuses fausses applications se sont créées. Le CERT-FR en a recensé 215 au 15 juillet 2016. Elles sont surtout présentes dans les pays où le jeu n’est pas présent. Il recommande donc de ne pas télécharger cette application sur des sites tiers, et de n’installer que les versions originales disponibles sur Google Play ou l’Apple Store. Nous nous étions fait l’écho de la disponibilité d’APK Pokémon Go pour Android qui contenait des malwares. Le bulletin constate aussi que Niantic a résolu le problème de permission qui exigeait un accès complet au profil Google de l’utilisateur.

Sur les données personnelles, l’ANSSI observe comme beaucoup d’autres organisations que Pokémon Go collecte en permanence de nombreuses données personnelles. Informations d’identité liées à un compte Google, position du joueur par GPS, etc. L’UFC-Que Choisir avait récemment alerté sur cette question de la collecte des données. La semaine dernière la CNIL a publié un document concernant « jeux sur votre smartphone, quand c’est gratuit… » où elle constatait que ce type d’application était très gourmande en données. L’ANSSI préconise la désactivation du mode « réalité augmentée » lors de la phase de capture d’un Pokémon.

BYOD et Pokémon Go, le pouvoir de dire non

L’ANSSI répond sur le lien qu’il peut y avoir entre le BYOD (Bring Your Own Device), c’est-à-dire l’utilisation de son terminal personnel dans un cadre professionnel et Pokémon Go. Le CERT-FR constate qu’il est « tentant d’utiliser un ordiphone professionnel pour augmenter les chances de capturer un Ronflex (un Pokémon rare à trouver) ». Surtout quand la demande émane d’un VIP et qu’il est souvent difficile de refuser. Eh bien comme Patrick Pailloux (prédécesseur de Guillaume Poupard à la tête de l’ANSSI) l’avait dit en son temps, il faut avoir le pouvoir de dire non à l’installation de ce type d’application dans un environnement professionnel.

Toujours dans le cadre du travail, l’agence déconseille l’usage de l’application dans des lieux où le geo-tagging du joueur pourrait avoir des conséquences (lieu de travail, sites sensibles).

Article original de Jacques Cheminat

Réagissez à cet article