Changement de téléphone : les sept applications de transfert Android présentaient des failles de sécurité

TVS News IA, supervisé éditorialement, présente Changement de téléphone : les sept applications de transfert Android présentaient des failles de sécurité.

Imaginez : vous vous trouvez dans un magasin d'électronique, un nouveau contrat vient d'être signé, le tout nouveau smartphone Android est en main – et déjà les photos, les conversations et les clés Wi-Fi enregistrées migrent vers l'écran via une application du fabricant. Ce qui ressemble à une simple formalité a été pendant des mois une porte grande ouverte. Des chercheurs en sécurité de la TU Graz, en coopération avec le Centre pour une technologie de l'information sûre A-SIT, ont démonté en conditions réelles sept applications de migration de données très répandues pour Android. Leur verdict est sans appel : aucune des applications examinées n'a tenu face aux tests.

L'étude en bref

Sous le titre « Clone2Pwn: A Systematic Security Analysis of Data Migration Tools in the Android Ecosystem », l'équipe menée par Florian Draschbacher (aux côtés de Lukas Maar, Lorenz Schumm, Rene Denifl, Lukas Treffner et Stefan Mangard) a présenté ses résultats en octobre 2026 lors du European Symposium on Research in Computer Security (ESORICS) à Rome. Ont été examinés les outils de transfert de téléphone de sept fabricants – à savoir Switch de Google, Smart Switch de Samsung, EasyShare de Vivo, Mi Mover de Xiaomi, Clone Phone d'Oppo, Phone Clone de Huawei ainsi que Device Clone de Honor. Le bilan : dans chacune de ces applications, les chercheurs ont trouvé des vulnérabilités exploitables dans différents scénarios d'attaque.

Comment le test s'est déroulé

Les programmes de migration établissent généralement, pour le transfert d'appareil, une connexion Wi-Fi directe entre les deux smartphones, sans détour par un serveur cloud. À elle seule, cette méthode ne protège cependant pas encore, soulignent les chercheurs. Ils ont formulé six scénarios d'attaque distincts et les ont traduits en 15 exigences de sécurité concrètes. Chaque application a été évaluée à cette aune.

Ce qui pouvait se passer en pratique

La portée de ces attaques est d'une proximité déconcertante : en intérieur, 20 à 45 mètres de distance suffisaient pour intercepter le flux de données. Un matériel standard à moins de 100 euros faisait l'affaire. Si l'attaque réussissait, SMS, listes de contacts, galeries de photos, journaux d'appels et parfois des informations médicales s'ouvraient – y compris les mots de passe Wi-Fi et les identifiants d'autres applications. Pour cinq des sept programmes, il était en outre possible d'introduire en contrebande des paquets d'installation manipulés sur l'appareil cible, ouvrant la voie à des logiciels malveillants. Trois applications étaient en plus vulnérables via un logiciel malveillant déjà présent sur l'appareil source.

L'ampleur de la diffusion aggrave le problème

Ce qui aggrave la situation : ces applications sont préinstallées sur presque chaque smartphone Android et utilisées systématiquement lors d'un changement d'appareil. Au total, les applications concernées enregistrent ensemble plus de douze milliards de téléchargements – ce chiffre comptant les installations, pas nécessairement des personnes distinctes. Comme lieux névralgiques, l'étude cite en particulier les magasins d'électronique et les boutiques de téléphonie mobile, où chaque jour de nombreux appareils sont fraîchement configurés.

Degrés de gravité variables

La vulnérabilité d'une application variait d'un fabricant à l'autre. Samsung Smart Switch et Vivo EasyShare ont révélé des faiblesses dans trois des six scénarios chacun. Google Android Switch s'en est tiré le mieux avec un seul scénario avéré, même si la connexion Wi-Fi mal sécurisée a pu y être déchiffrée et lue. Six des sept applications pâtissaient de mots de passe Wi-Fi trop faibles ou d'autres failles radio. Chez Google, la fuite de données concernait aussi des informations de santé – notamment des indications sur l'activité sexuelle et la santé reproductive, qui ne pouvaient de surcroît pas être exclues sélectivement du transfert. Une manipulation des données durant le transfert n'a toutefois pas pu être prouvée pour Google.

Comment Samsung est tombé dans le viseur

Sur Smart Switch, les chercheurs ont exploité une vulnérabilité dès l'établissement de la connexion. Ils se sont intercalés entre les appareils et ont vu en clair les messages, photos, contacts et identifiants Wi-Fi enregistrés. Il a en outre été possible de substituer à une installation d'application en cours un paquet préparé – introduisant ainsi un logiciel malveillant sur le nouveau téléphone. Fait notable : Samsung avait certes intégré un chiffrement Wi-Fi plus robuste que plusieurs concurrents, mais l'établissement de la connexion lacunaire annulait cet avantage.

Divulgation responsable et réaction

Avant la publication des travaux, les chercheurs ont informé tous les groupes concernés dans le cadre d'une divulgation responsable. Résultat : huit vulnérabilités officiellement enregistrées, dont cinq classées à haut niveau de risque. Les sept fabricants ont confirmé les découvertes et ont ensuite fourni des mises à jour de sécurité. La protection n'existe toutefois que là où les correctifs ont effectivement été installés. Comme les attaques documentées concernent des versions logicielles spécifiques, en partie dépassées entre-temps, le risque personnel dépend à chaque fois de l'état du logiciel.

Parce que ces applications sont déjà préinstallées et très pratiques pour le transfert de données vers un nouveau téléphone, ces failles de sécurité ont des conséquences énormes.

Recommandations concrètes avant le prochain transfert

Quiconque s'apprête à configurer un nouveau téléphone Android devrait passer en revue les points suivants avant que les données ne migrent : installer sur l'ancien comme le nouvel appareil la dernière mise à jour du système d'exploitation et de sécurité. S'assurer que l'application de transfert utilisée est bien dans sa version la plus récente – une mise à jour complète du système d'exploitation est parfois nécessaire. Effectuer le transfert de préférence chez soi, et non dans un magasin animé. Lors de la configuration, ne valider que la connexion à son propre nouvel appareil. Une fois le transfert terminé, vérifier que toutes les données sont bien arrivées et qu'aucune application étrangère n'apparaît. Une alternative pour les utilisateurs Samsung : Smart Switch prend en charge le transfert par câble USB entre appareils Android – ce qui exclut les attaques radio. Un logiciel malveillant déjà présent sur l'appareil source reste toutefois un risque même avec un câble, raison pour laquelle l'état logiciel de l'ancien appareil doit également être maintenu à jour.