Applications mobiles : des failles de sécurité massives menacent les données d'entreprise

Alors que les appareils mobiles occupent une place centrale dans nos vies personnelles et professionnelles, une nouvelle étude menée par zLabs, l’équipe de recherche de Zimperium, tire la sonnette d’alarme. Après avoir analysé 17 333 applications mobiles utilisées en entreprise, les chercheurs ont mis au jour une vaste exposition de données sensibles. En 2024, plus de 1,7 milliard de personnes ont vu leurs données personnelles compromises, soit une hausse spectaculaire de 312 % en un an. Cette vague de fuites aurait entraîné des pertes estimées à 280 milliards de dollars.

Avec la démocratisation des politiques BYOD (Bring Your Own Device), les risques associés à l’utilisation d’applications mobiles atteignent aujourd’hui un niveau critique.

Parmi les principales failles identifiées dans l’étude :

• 65 % des applications utilisent des services cloud mal configurés, exposant ainsi les données ;
• 92 % des applications — dont 56 % figurant parmi le Top 100 — reposent sur des méthodes de cryptographie non conformes ;
• 83 applications Android, dont certaines très populaires sur le Play Store, exploitent des espaces de stockage cloud vulnérables ou insuffisamment sécurisés ;
• 10 applications exposent publiquement des identifiants AWS, ouvrant potentiellement l’accès à des données d’entreprise hautement sensibles ;
• 5 % des applications les plus utilisées présentent des failles critiques : clés cryptographiques codées en dur, algorithmes obsolètes comme MD2, ou encore générateurs de nombres aléatoires peu fiables.

Contrairement aux idées reçues, ces fuites de données ne sont pas uniquement dues à des cyberattaques externes : elles proviennent le plus souvent de négligences internes — pratiques de sécurité laxistes, mauvaises configurations, ou absence de processus rigoureux de gestion des données.

Face à ces constats, il est conseillé aux entreprises à revoir en profondeur leur stratégie de sécurité mobile. Il devient impératif d’instaurer une surveillance renforcée des applications, incluant l’identification des erreurs de configuration cloud, la détection d’identifiants exposés, l’audit des méthodes de chiffrement et la vérification de la sécurité des SDK et composants tiers.