Rapport Sophos sur les menaces à la sécurité mobile

Rapport Sophos sur les menaces à la sécurité mobile Publié à l'occasion du Mobile World Congress 2014 Par Vanja Svajcer, Principal Researcher, SophosLabs

Sommaire Introduction...1 Fig. 1 Échantillons cumulés de malwares sur Android en janvier 2014...1 Croissance exponentielle des smartphones et des tablettes...2 Fig. 2 Taux d'exposition aux menaces sur mobiles et sur ordinateurs de bureau...2 Android vs. ios...3 Apple...3 Google et Android...3 Fig. 3 Le top 10 des familles de malwares identifiées sur Android...3 Les types d'attaques : comment les pirates exploitent les mobiles... 4 Fig. 4 Anatomie d'un appareil mobile piraté : comment les pirates exploitent votre smartphone...4 Malwares Android : transformation et gain d'efficacité...5 Nouveaux botnets pour Android...5 Les ransomwares s'attaquent à Android...5 Le détournement de fonds via smartphone... 6 PUA en hausse avec les auteurs d'applications qui cherchent à faire de l'argent à tout prix...7 Sécuriser Android...7 Fig. 5 Croissance cumulée Malware vs PUA...7 Malwares mobiles en 2014 : à quoi devons-nous nous attendre...8 Fig. 6 Les principales PUA Android identifiées...8 Fig. 7 Détections de malwares Android les plus répandus, octobre 2013...8 10 conseils pour bloquer les malwares mobiles... 9

Dix ans de malwares pour les mobiles 2004 2009 2010 2011 2012 2013 2014 1000 nouveaux échantillons de malwares Android découverts chaque jour 2000 nouveaux échantillons de malwares Android découverts chaque jour Cabir Premier vers affectant les portables Symbian Series 60. Se propage d un appareil à un autre en utilisant le protocole Bluetooth OBEX. Ikee and Duh Vers affectant les iphones jailbreakés en utilisant le système de distribution des applications Cydia grâce à un mot de passe codé en dur en sshd. FakePlayer Premier malware sur Android conçu pour rapporter de l argent en envoyant des SMS surtaxés en Russie. DroidDream Première grande attaque visant le marché Google Play market. Plus de 50 applis contenant un «exploit root» publié sur le marché Android. Zitmo Le célèbre cheval de Troie bancaire sur Windows est amélioré avec son composant Android conçu pour dérober des numéros d'authentification de transaction mobiles (mtans). Masterkey Découverte d une vulnérabilité sur Android qui exploite la validation de certificat sur Android et permet au malware de se camoufler en appli légitime. DownAPK Malware sur Windows qui utilise le pont de débogage Android pour installer une fausse appli de banque en ligne sur les appareils Android connectés au PC infecté. Introduction Cela fait dix ans que le premier malware sur mobile est apparu en 2004, mais c'est surtout au cours des dernières années qu'il est devenu une véritable menace pour les utilisateurs. En effet, l'explosion des smartphones et des tablettes ces deux dernières années a inévitablement abouti à une hausse de la cybercriminalité sur ce type d'équipement. La croissance exponentielle des systèmes Android notamment - et de leur marché d'applications qui est loin d'être réglementé - a produit une montée en flèche des malwares visant cette plate-forme. Jusqu'à aujourd'hui, les SophosLabs ont observé plus de 650 000 programmes malveillants pour Android, certes une fraction minuscule par rapport au nombre de malwares ciblant les PC traditionnels mais néanmoins une menace grandissante. Les malwares Android se sont développés très rapidement et la cadence n'est pas prête de s'arrêter pour l'ensemble des mobiles. Fig. 1 Échantillons cumulés de malwares sur Android en janvier 2014 700000 600000 500000 400000 300000 200000 100000 0 Nov 2010 Jan 2011 Source : SophosLabs Mar May Jul Sep Nov Jan Mar May Jul Sep Nov Jan Mar May Jul Sep Nov 2012 2013 Jan 2014 1

Croissance exponentielle des smartphones et des tablettes Avec un chiffre d'affaires mondial avoisinant les sept milliards à la fin 2013, il est clair que le marché des mobiles est en train de prendre le pas sur l'ordinateur de bureau aussi bien à la maison que dans l'entreprise. Aujourd'hui, nous comptons sur nos smartphones et nos tablettes pour toutes nos activités Internet dans nos vies, qu'il s'agisse de transactions de e-commerce ou de banque en ligne. C'est pourquoi en moins d'un an, ils sont passés du statut de vecteur émergent de menaces à celui de système régulièrement exploité par les cybercriminels. Ils sont très vite devenus une mine d'or potentielle pour les cybercriminels désireux de dérober des données personnelles et ils permettent aussi d'accéder facilement aux utilisateurs finaux via les techniques d'ingénierie sociale telles que les faux antivirus qui les incitent à acheter un antimalware pour des menaces qui en réalité n'existent pas. Le graphique de la figure 2 montre le taux d'exposition aux menaces (TER en anglais) des ordinateurs de bureau et des mobiles, c'est-à-dire le pourcentage de PC et de mobiles ayant connu une attaque de malware - réussie ou échouée - sur une période de trois mois. Ce graphique montre uniquement les tentatives d attaques de malwares sur les appareils protégés par Sophos mais il révèle que, alors que la majorité des malwares se trouve toujours sur les ordinateurs de bureau, dans certains pays, les malwares sur mobiles sont devenus un phénomène important. La Fédération de Russie est un cas à part, dans le sens où les cybercriminels russes sont particulièrement actifs au niveau des mobiles et de nombreux malwares sur mobiles visent par conséquent les utilisateurs russes. Les cybercriminels russes sont particulièrement très actifs au niveau de l'envoi de SMS surtaxés. Les familles telles que Boxer (voir le graphique de la figure 3 sur les 10 familles de malwares Android) existent depuis plusieurs années et représentent déjà 25 % des malwares Android aujourd'hui. L'Inde, l'autriche, l'espagne et la Chine ont également un TER élevé sur le segment des mobiles (voir figure n 2). Fig. 2 Taux d'exposition aux menaces sur mobiles et sur ordinateurs de bureau 35.00 30.00 TERMobile TERDesktop 25.00 20.00 15.00 10.00 5.00 0.00 RUS IND AUT ESP CHN SGP CHE ZAF GBR BRA SWE IRL ITA FRA BEL NLD USA DEU DNK CAN AUS JPN Source : SophosLabs 2

Android vs. ios Les auteurs de malwares mobiles savent que le meilleur moyen d'infecter le plus grand nombre de mobiles est d'attaquer le marché des applications. C'est pourquoi à l'heure actuelle le moyen le plus facile pour un malware d infecter un mobile est via le téléchargement d'une application malveillante qui n'a pas été suffisamment contrôlée. Les cybercriminels diffusent des applis avec des fonctionnalités malveillantes camouflées, conçues pour éviter toute détection présente dans le processus de contrôle des applications de l'éditeur. Inévitablement, la plate-forme Android de Google est devenue pour les auteurs de malwares mobiles une cible encore plus grande que l'ios d'apple car, contrairement à Apple, elle n'a pas de politique de "jardin protégé" en ce qui concerne les applications. L'autre point important est qu'android représente une très grande part du marché mobile - jusqu'à 79 % en 2013, selon Strategy Analytics. 1 Apple Le jardin protégé d'apple, l App Store, - où les applications sont parfaitement contrôlées avant d'être mises à la disposition des clients a empêché une large infection des utilisateurs ios. En tant que point de distribution centralisé, l'app Store donne aux utilisateurs la garantie que les applis qu'ils téléchargent ont bien été testées et validées par Apple. Les cas de programmes malveillants ayant pu apparaître dans l'app Store sont rares, car Apple ne fournit généralement pas ce type d'informations. Cependant, on peut présumer que comme Apple ne met pas ces API à la disposition des développeurs, le système d'exploitation ios a moins de vulnérabilités même s'il n'est pas entièrement invulnérable. Google et Android A l'instar d'apple, Google offre un marché centralisé pour les applications mobiles appelé Google Play. Mais il peut être compromis du fait qu'android offre la possibilité d'installer des applis de sources tierces. Certaines de ces sources sont bien établies et réputées comme c'est le cas d'amazon. D'autres en revanche ne le sont pas et proviennent de hotspots de malwares en Russie et en Chine. Les développeurs criminels décompilent les applis populaires telles que Angry Birds et publient des versions malveillantes qu'ils proposent gratuitement. Fig. 3 Le top 10 des familles de malwares identifiées sur Android Andr/Boxer-D 25% Andr/Opfake-C 8% Andr/FakeIns-B 8% Andr/MTK-C 6% Andr/FakeIns-D 5% Andr/SMSSend-J 2% Andr/Opfake-H 2% Andr/Spy-L 2% Andr/Wkload-A 2% Autres 40% Remarque : les pourcentages sont arrondis à l unité supérieure. Source : SophosLabs 1. Engadget, http://www.engadget.com/2014/01/29/strategy-analytics-2013-smartphone-share/ 3

Les types d'attaques : comment les pirates exploitent les mobiles L'infographie "Anatomie d'un mobile piraté" (figure n 4) montre les différentes manières utilisées par les pirates pour exploiter un équipement mobile compromis. Certaines d'entre elles, telles que les ransomwares, les faux antivirus, les réseaux zombies et le vol de données sont déjà utilisées sur les ordinateurs de bureau classiques. Mais de part leur propre nature, les appareils mobiles ouvrent aussi la voie à de nouveaux types d'attaques. Par exemple, les cybercriminels ont vite reconnu l'intérêt d'utiliser des applis mobiles malveillantes pour envoyer des SMS à des numéros surtaxés, engrangeant des bénéfices illégaux. Et parce qu'ils sont compacts et mobiles, ils peuvent se perdre plus facilement et faire l'objet de fuites de données potentielles si l'appareil n'est pas bien protégé ou chiffré. Aujourd'hui, l'évolution de la banque en ligne mobile présente un risque encore plus élevé pour les utilisateurs. En effet, les mobiles ultra sophistiqués qui permettent aux utilisateurs d'effectuer des transactions financières tout en se déplaçant, sont déjà très ciblés par les malwares conçus pour dérober des données et de l'argent. C'est pourquoi protéger les mobiles contre les programmes malveillants et les enregistreurs de touches doit être le principe de base de la banque mobile sécurisée. Fig. 4 Anatomie d'un appareil mobile piraté : comment les pirates exploitent votre smartphone Votre appareil Android vous paraît peut-être inoffensif, mais une fois piraté, il peut surveiller vos moindres faits et gestes et usurper votre identité, participer aux activités dangereuses d'un botnet, dérober vos données personnelles et même votre argent. 650 000 Échantillons de malwares pour Android détectés par les SophosLabs* 113 Smartphones perdus chaque minute aux États-Unis 2 Surveillance Audio Appareil photo Journal d'appels Situation géographique Messages SMS Vol de données Détails de compte Contacts Journal d'appels Numéro de téléphone Détournement de données via des applications vulnérables Détournement du numéro d'identité international d'équipement mobile (IMEI) * Source : SophosLabs 1 Source (en anglais) : 2013 Cost of Data Breach Study, Ponemon Institute 2 Source (en anglais) : What s the Worst U.S. City for Smartphone Theft?, Mashable Usurpation d'identité Redirection de SMS Expédition de messages électroniques Publication de messages sur les réseaux sociaux Gain financier Envoi de SMS surtaxés Détournement de numéros d'authentification de transaction (TAN) Extorsion de fonds via ransomware Faux antivirus Appels surtaxés Activité du botnet Lancement d'attaques par DDoS Fraude au clic Envoi de SMS surtaxés 5,4 $ millions Coût moyen d'une fuite de données en 2012 (aux États-Unis) 1 99,99 USD Prix demandé par le ransomware Android Defender* 4

Malwares Android : transformation et gain d'efficacité Nous avons enregistré plus de 300 familles de malwares pour Android depuis la première détection en août 2010 et plus de 650 000 éléments individuels de malwares Android. Une grande partie de l'écosystème de ces malwares suit le même parcours que les malwares pour Windows ont suivi il y a quelques années. Nous avons remarqué récemment que les malwares pour Android emploient des techniques de plus en plus ingénieuses pour contourner et contrer les méthodes de détection. Prenons l'exemple de Ginmaster. Détecté pour la première fois en Chine en août 2011, ce programme de type cheval de Troie est injecté dans de nombreuses applications distribuées sur des marchés tiers. En 2012, Ginmaster a commencé à déjouer les techniques de détection en camouflant les noms de classe, en chiffrant les URL et les instructions de C&C, et en adoptant des techniques de polymorphisme propres aux malwares pour Windows. En 2013, les développeurs de Ginmaster ont mis en œuvre des techniques de camouflage et de chiffrement bien plus complexes, les rendant beaucoup plus difficiles à détecter et à rétroanalyser. Ginmaster n'a pas cessé de se propager depuis début 2012, jusqu'à enregistrer plus de 7 500 échantillons à la fin janvier 2014. Nouveaux botnets pour Android Fin 2013, des rapports font état d un botnet de grande envergure contrôlant des périphériques Android, tout comme d'autres dans le domaine du PC. Ce botnet, que Sophos détecte sous le code Andr/GGSmart-A, semble jusqu'à présent se limiter à la Chine. Il utilise la technologie de centre de commande et de contrôle pour communiquer avec les appareils mobiles infectés, provoquant par exemple l'envoi de SMS surtaxés qui sont facturés au propriétaire du périphérique. Contrairement aux attaques Android typiques, il a la capacité de modifier et de contrôler les numéros de SMS surtaxés, le contenu, et même les programmes d'affiliés sur l'ensemble de son vaste réseau. C'est le malware pour Android le plus efficace et le plus dangereux de sa génération. Les ransomwares s'attaquent à Android Le concept du ransomware est relativement ancien, les premiers cas datant d'il y a 25 ans. Celui-ci opère en prenant vos fichiers ou votre périphérique en otage, et en vous demandant une rançon afin d'en regagner l'accès. En juin 2013, Rowland Yu, chercheur à Sophos, a identifié une attaque de ransomware sur Android. Android Defender, un malware hybride entre faux antivirus et application ransomware, exige un paiement de 99,99 USD pour rendre l'accès au périphérique retenu. Au démarrage, l'apparence professionnelle d'android Defender lui permet de rechercher, sans éveiller les soupçons, les droits d'administrateur grâce à une multitude de techniques d'ingénierie sociale. S'il les obtient, il peut limiter l'accès à toutes les autres applications, bloquant ainsi les fonctions d'appel, de paramétrage, d'arrêt des tâches, de désinstallation des applications, ou même de réinitialisation. Il affiche un message d'avertissement visible à l'écran, quoi que fasse l'utilisateur. Il est même capable de désactiver les touches Retour/Home puis de s'exécuter lors du prochain démarrage pour éviter d'être supprimé. L'une des seules choses qu'il n'est pas capable de faire pour l'instant, c'est de chiffrer votre contenu ou vos données personnelles. 5

Le détournement de fonds via smartphone En septembre 2013, nous avons détecté une nouvelle forme de malware bancaire destiné à détourner des fonds via Android grâce à une combinaison de techniques d'ingénierie sociale et des attaques classiques contre Windows. SophosLabs identifie ce malware comme Andr/Spy-ABN, et bien que le taux de détection soit relativement faible en ce moment, il a déjà frappé des organismes financiers français, néerlandais et indiens. Tout comme son prédécesseur Zeus, Andr/Spy-ABN commence par agir du côté de Windows où il injecte du code dans Internet Explorer pour intercepter les données de l'utilisateur avant qu'elles ne soient chiffrées et envoyées vers l'organisme financier. Il capture également les certificats personnels du navigateur et les cookies. Une fois authentifié, l'utilisateur est informé que par mesure de sécurité (quelle ironie!) sa banque exige maintenant une nouvelle application pour smartphones. Sur saisie de son numéro et du modèle du téléphone, il reçoit un SMS contenant un lien vers l'application malveillante. Comme si cela ne suffisait pas, le code injecté empêche l'utilisateur d'accéder à ses comptes jusqu'à ce que le malware soit installé et lui fournisse un code d'activation. Certaines organisations financières exigent désormais qu'une protection antimalware soit en place avant que les clients ne puissent s'inscrire au service de banque en ligne. Le fait de chiffrer toutes les données sur un mobile et de sécuriser cet appareil à l'aide d'un PIN crée une barrière supplémentaire en cas de perte ou de vol. Le second défi porte sur l'authentification des utilisateurs de l'application de la banque mobile, le maillon faible dans ce qui serait sinon un service ultra pratique. Les mots de passe des utilisateurs sont faciles à deviner et les attaques permanentes de phishing ciblées et sophistiquées trompent les utilisateurs pour qu'ils divulguent leur nom d'utilisateur/ mot de passe et la clé pour accéder à leurs ressources financières. La plupart des organisations financières exigent aujourd'hui l'authentification multifacteur à travers l'utilisation de tokens et autres mécanismes de sécurité. Pour l'authentification à deux facteurs (2FA), ce n'est pas seulement ce que vous savez (par ex. un mot de passe), mais aussi ce que vous possédez (par ex. un token) qui sont nécessaires pour accéder aux informations sensibles, ce qui renforce le niveau de sécurité de manière significative. Cette solution s'accompagne d'un coût supplémentaire mais elle est très utile au final. 6

PUA en hausse avec les auteurs d'applications qui cherchent à faire de l'argent à tout prix. Les applications potentiellement indésirables (PUA en anglais) prolifèrent sur Android, comme vous pouvez le voir dans le graphique cumulatif montrant la croissance des PUA (figure 5). Ce sont des applications Android qui, bien qu'elles n'appartiennent pas strictement à la famille des malwares, sont tout de même susceptibles d'introduire des risques de sécurité ou autres. Beaucoup d'utilisateurs peuvent de façon négligente installer des applications liées à des réseaux d'annonceurs agressifs capables de suivre leurs périphériques et leurs mouvements, et peut-être même de capturer leurs données de contact. Ces applications rapportent de l'argent simplement en diffusant de la publicité pornographique ou autre contenu indésirable aux utilisateurs. Bon nombre d'entreprises souhaiteraient s'en débarrasser en raison du type de données qu'elles exposent ou encore pour protéger leurs employés contre les contenus inappropriés et un environnement de travail potentiellement hostile. Sécuriser Android Récemment, Google a pris des mesures importantes pour renforcer la sécurité de sa plate-forme Android. Tout d'abord, Android 4.3 a éliminé la fonction par laquelle les fichiers APK (Android Application Packet) étaient automatiquement téléchargés de tierces parties lorsque le navigateur Android par défaut était utilisé. Il s'agissait en effet d'une faille naturelle de sécurité propice aux attaques de téléchargements passifs due au design même d'android. Google est également plus strict envers les développeurs, surtout dans le cas des applications potentiellement indésirables, qui ne sont pas des malwares à proprement parler, mais qui sont souvent trop intrusives. Google a aussi interdit certains formats d'applications et d'annonces, notamment l'insertion d'annonces tierces ou de liens sur la page d'accueil, le changement de la page d'accueil du navigateur, ou l'utilisation de la zone de notification du système à des fins différentes. Fig. 5 Croissance cumulée Malware vs PUA 700000 600000 Malware PUA 500000 400000 300000 200000 100000 0 Jan 2012 Source : SophosLabs Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec Jan Feb Mar Apr May Jun Jul Aug 2013 Sep Oct Nov Dec Jan 2014 7

Fig. 6 Les principales PUA Android identifiées Android Airpush 18% Android Adwo 17% Android Dowgin 14% Android Kuguo 12% Android Wapsx 12% Android Multi Ads 4% Android Apperhand 4% Android LeadBolt 4% Android MMarket 2% Autres 13% Remarque : les pourcentages sont arrondis à l unité supérieure. Source : SophosLabs Fig. 7 Détections de malwares Android les plus répandus, octobre 2013 Bien qu'il n'existe pas de famille de malware Android vraiment dominante à l'heure actuelle, le malware le plus répandu est Andr/BBridge-A. Ce cheval de Troie utilise un exploit d'élévation des privilèges pour installer d'autres applications malveillantes sur votre mobile. Andr/BBridge-A s'est montré très persistant : il occupait déjà la seconde place de notre liste d'infections en juin 2012. Andr/BBridge-A 9% Andr/Fakeins-V 6% Andr/Generic-S 5% Andr/Qdplugin-A 3% Andr/Adop-A 2% Andr/Boxer-D 2% Andr/SmsSend-BY 2% Andr/DroidRt-A 2% Andr/SmsSend-BE 2% Andr/MTK-B 2% Autres 65% Remarque : les pourcentages sont arrondis à l unité supérieure. Source : SophosLabs Malwares mobiles en 2014 : à quoi devons-nous nous attendre 1. Les malwares pour Android, de plus en plus complexes, cherchent de nouvelles cibles En 2013, Les SophosLabs ont assisté à la croissance exponentielle des malwares pour Android, non seulement en termes de nombre de familles différentes et d'échantillons, mais aussi en termes de nombre d'appareils frappés sur l'ensemble du globe. Bien que les nouvelles fonctionnalités de sécurité d'android fassent progressivement réduire les taux d'infection, il faudra longtemps avant qu'elles ne soient adoptées unanimement, laissant de nombreux utilisateurs à la merci des attaques d'ingénierie sociale. Les cybercriminels continueront à explorer de nouvelles voies pour monétiser les malwares pour Android. Bien que leurs options soient plus limitées sur cette plate-forme que sur Windows, les appareils mobiles offrent l'avantage non négligeable de pouvoir servir de base de lancement pour des attaques visant les réseaux sociaux et les plates-formes dans le Cloud. Pour réduire les risques d'infection, imposez donc une politique de BYOD ("bring your own device" ou "apportez votre propre système") visant à bloquer le chargement d'applications mobiles depuis des sources inconnues et à imposer une protection antimalware. 8

2. Les données personnelles en danger sur les applications mobiles et les réseaux sociaux La sécurité des mobiles en général continuera à faire couler de l'encre en 2014. L'adoption croissante de nouvelles applications de communication personnelles et professionnelles élargit la surface d'attaque pour les arnaques basées sur l'ingénierie sociale et les tentatives d'extraction illégitime de données. Votre carnet d'adresses et votre graphique de connexions sociales sont précieux aux yeux des cybercriminels en tous genres. Veillez donc à les protéger comme il se doit, grâce au contrôle des applications mobiles et Web pour les professionnels. 3. Il faut intégrer plus de sécurité pour alléger la tâche des utilisateurs Les mobiles sont de plus en plus utilisés pour effectuer des opérations de banque en ligne et autres transactions. Il est dans l'intérêt des organisations financières mais aussi des utilisateurs d'accroître leur utilisation au quotidien des applications de banque en ligne. Aussi semble-t-il logique que d'autres niveaux de sécurité soient intégrés directement aux mobiles afin d'alléger la tâche de sécurité pour l'utilisateur final et d'offrir un environnement parfaitement sécurisé. 10 conseils pour bloquer les malwares mobiles Les utilisateurs peuvent prendre quelques mesures simples pour protéger leurs appareils mobiles. Les dix recommandations suivantes sont destinées aux entreprises qui ont besoin de sécuriser leurs utilisateurs mobiles et de prévenir les infections de malwares mobiles sur les systèmes BYOD ou les systèmes de l'entreprise. Bon nombre de ces conseils s'appliquent aussi aux utilisateurs grand public, qui ont tout intérêt également à protéger leurs appareils personnels. 1. Informez les utilisateurs sur les risques liés aux mobiles Un mobile est un mini-ordinateur et doit donc être protégé de la même manière. Les utilisateurs doivent reconnaître que les applications ou les jeux peuvent comporter des programmes malveillants et doivent donc toujours questionner la source. Une bonne règle à suivre : si une application demande plus d'informations qu'elle n'en a besoin pour effectuer une tâche particulière, alors vous ne devriez pas l'installer. 2. Vérifiez la sécurité des réseaux "over-the-air" utilisés pour accéder aux données de l'entreprise En règle générale, les réseaux "over-the-air" (par ex. WiFi) ne sont pas sûrs. Par exemple, si un utilisateur accède aux données de l'entreprise via une connexion WiFi dans un aéroport, les données peuvent être exposées à des utilisateurs malintentionnés qui scrutent le trafic sans fil sur le même point d'accès. Les entreprises doivent développer des politiques d'utilisation acceptables, offrir une technologie VPN et exiger que les utilisateurs se connectent via ces tunnels sécurisés. 9

3. Créez et appliquez des politiques BYOD Le BYOD doit être une pratique gagnant-gagnant aussi bien pour les utilisateurs que pour les entreprises mais il peut engendrer des risques supplémentaires. Posez-vous la question suivante : comment est-ce que je contrôle un système appartenant à un utilisateur - et donc géré par lui - qui nécessite un accès au réseau de l'entreprise? Les employés sont souvent la meilleure défense contre le vol de données sensibles. Ceux qui utilisent leur propre mobile doivent suivre les politiques mises en place par l'entreprise pour maintenir sa conformité aux réglementations en vigueur. 4. Prévenez le jailbreaking Le jailbreaking est le fait de supprimer les limitations de sécurité imposées par l'éditeur du système d'exploitation. Les termes "jailbreaker ou rooter" signifient obtenir un accès complet au système d'exploitation et aux fonctionnalités. Ils signifient également rompre avec le modèle de sécurité et autoriser toutes les applications, y compris les applications malveillantes, à accéder aux données appartenant à d'autres applications. En résumé, vous ne voulez pas de systèmes rootés ni jailbreakés au sein de votre entreprise. 5. Maintenez les systèmes d'exploitation des mobiles à jour Cela semble plus facile que ça ne l'est en réalité. Dans l'écosystème Android, les mises à jour peuvent être bloquées de plusieurs manières : par Google (qui met à jour le système d'exploitation), par le fabricant du mobile (qui décide de publier les mises à jour seulement pour les derniers modèles) ou par le fournisseur du réseau (qui peut ne pas augmenter la bande passante sur son réseau pour prendre en charge les mises à jour). Sans la possibilité de mettre à jour votre système d'exploitation Android, votre appareil est vulnérable et en proie à tous les exploits potentiels. Effectuez des recherches sur les fabricants et les fournisseurs de réseaux pour savoir lesquels appliquent les mises à jour et lesquels ne le font pas. 6. Chiffrez vos mobiles Le risque de perdre un appareil est toujours plus élevé que le risque d'infection par malware. En protégeant vos appareils par le chiffrement intégral, il devient extrêmement difficile de le pirater et de voler ses données. Créer un mot de passe solide pour le système ainsi que pour la carte SIM devrait être un impératif. 10

7. Les politiques de sécurité mobile devraient faire partie intégrante de votre stratégie de sécurité globale Le service informatique doit atteindre un équilibre entre la liberté des utilisateurs et la gérabilité de l'environnement informatique. Si un appareil n'est pas conforme aux politiques de sécurité, il ne devrait pas être autorisé à se connecter au réseau ni à accéder aux données de l'entreprise. Les services informatiques ont besoin d'informer leurs utilisateurs sur les systèmes qui sont autorisés et ceux qui ne le sont pas. Et vous devriez appliquer votre politique de sécurité en utilisant des outils d'administration pour mobiles. 8. Installez des applications depuis des sources de confiance ; pensez à créer un «Enterprise App Store» Seules les applications provenant de sources fiables et de confiance, telles que Google Play et Apple App Store, devraient être autorisées. Cependant, les entreprises devraient également penser à créer des «Enterprise application stores» pour distribuer les applis personnalisées de l'entreprise et les applications grand public interdites. Votre éditeur de sécurité peut vous aider à créer un «app store» et vous conseiller sur les applications sécurisées. 9. Proposez des alternatives de partage dans le Cloud Les utilisateurs mobiles souhaitent partager des données et pouvoir y accéder depuis n'importe quel appareil, et pour ce faire il se peut qu'ils utilisent des services sans l'accord du service informatique. Les entreprises devraient donc envisager de mettre en place un service de stockage basé dans le Cloud pour leur proposer une alternative sûre et sécurisée. 10. Encouragez les utilisateurs à installer un antimalware sur leurs mobiles Bien que des malwares existent sur ios, BlackBerry et les plates-formes prenant en charge Java Micro Edition, les interfaces de ces systèmes d'exploitation ne supportent pas les antimalwares. Néanmoins, le risque d'infection est à son plus haut pour Android, pour lequel un logiciel de sécurité est déjà disponible. Assurez-vous donc que tous vos systèmes Android soient bien protégés par un logiciel antimalware. 11

12

Sophos Mobile Security Téléchargez l'appli Android gratuite sur sophos.fr/androidsecurity Rapport 2014 sur les menaces à la sécurité Téléchargez le rapport sur sophos.fr/threatreport Équipe commerciale France : Tél. : 01 34 34 80 00 E-mail : info@sophos.fr Oxford, Royaume-Uni Boston, États-Unis Copyright 2014. Sophos Ltd. Tous droits réservés. Immatriculée en Angleterre et au Pays de Galles No. 2096520, The Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, Royaume-Uni Tous les autres noms de produits et de sociétés mentionnés sont des marques ou des marques déposées appartenant à leurs propriétaires respectifs. 1123-02DD.fr.simple