Des applis d'espionnage de WhatsApp permettent de savoir quand vous dormez et à qui vous parlez

WhatsApp se targue de respecter la vie privée de ses utilisateurs. Mais les données que l'application de messagerie — qui appartient à Facebook — partage publiquement permettent à des dizaines d'applis tierces de suivre l'activité en ligne des utilisateurs de WhatsApp — y compris avec qui ils sont susceptibles de parler, à quelle heure ils dorment et à quel moment ils utilisent leurs appareils. Ces applications et services de tracking utilisent la fonction de signalisation "en ligne" de WhatsApp pour permettre à leurs utilisateurs d'espionner les comportements en ligne de n'importe quelle personne utilisant WhatsApp, à son insu et sans son consentement, a constaté Business Insider US.

Ces applications intrusives montrent que même les services qui protègent fortement la vie privée des utilisateurs d'une certaine manière — comme WhatsApp qui s'est engagé à crypter les messages — peuvent encore exposer des données qui peuvent être utilisées pour tracer leurs utilisateurs. La vulnérabilité de WhatsApp provient de la fonction qui indique publiquement si un utilisateur est "en ligne" (c'est-à-dire s'il est en train d'utiliser l'application) à un moment donné. Isolée, il s'agit d'une information relativement inoffensive.

Mais lorsque ces applications récoltent constamment ces données pendant des jours et des semaines, leurs outils sont capables d'agréger et de construire des profils détaillés de l'activité et des interactions des utilisateurs de WhatsApp.

Les applications n'exposent pas le contenu des messages des utilisateurs de WhatsApp et ne révèlent pas non plus ce que les utilisateurs partagent ou reçoivent.

Mais elles se présentent aux clients potentiels comme des outils pour savoir quand d'autres personnes sont en train de dormir, quand elles utilisent WhatsApp et même avec qui elles parlent sur l'application — ce qu'elles arrivent à savoir en comparant les journaux d'activité de plusieurs personnes et en voyant lesquels correspondent.

Ces applications invasives ressemblent à une version moins extrême de "stalkerware" — des logiciels espions utilisés par certaines personnes pour surveiller les messages et les appareils de quelqu'un, et qui sont parfois utilisés dans des relations toxiques pour contrôler l'autre personne.

"Il est facile d'imaginer ce qu'un agresseur pourrait faire avec ces informations ou, autre exemple, un employeur qui l'utiliserait pour savoir si ses employés parlent sur WhatsApp pendant leur journée de travail, ou un membre des forces de l'ordre qui verrait si les gens parlent sur WhatsApp pendant une manifestation", a déclaré Cooper Quintin, chercheur principal en sécurité à l'Electronic Frontier Foundation (EFF), à propos des applications de surveillance de WhatsApp. "Je ne vois aucune bonne utilisation légitime à ces applications."

Dans un communiqué, un porte-parole de WhatsApp a déclaré : "WhatsApp fournit des outils de contrôle de confidentialité aux utilisateurs pour protéger leur photo de profil, leur statut "à propos" et l'option "vu à" pour les messages reçus. Nous maintenons des systèmes automatisés de lutte contre les abus qui identifient et empêchent les abus d'applications qui tentent de détecter les informations des utilisateurs de WhatsApp, et nous travaillons constamment pour améliorer nos systèmes au fil du temps. Nous demandons également aux magasins d'applications de supprimer les applications qui abusent de notre marque et violent nos conditions d'utilisation."

Une capture d'écran de l'App Store d'Apple d'une application iPhone qui espionne l'activité des utilisateurs sur WhatsApp et permet de savoir à qui ils parlent sur l'application. Business Insider US.

Les applications tentent de contrôler les personnes à qui vous parlez

Les applications d'espionnage de WhatsApp ont proliféré sur les magasins d'applis. Des dizaines d'entre elles sont disponibles sur le Play Store et l'App Store, ce qui soulève des questions quant aux contrôles effectués par Google et Apple pour détecter les applications invasives.

Un porte-parole de Google n'avait pas émis de commentaire au moment de la publication de cet article, mais a rappelé les règles de l'entreprise interdisant les "logiciels espions", et de nombreuses applications d'espionnage ont été retirées du Play Store jeudi matin. Un porte-parole d'Apple n'a pas répondu à la demande de commentaires de Business Insider US, et depuis jeudi, les applications de suivi de WhatsApp sont toujours disponibles dans l'App Store.

Alors, comment fonctionnent exactement ces applications ?

Lorsqu'une personne a WhatsApp d'ouvert, elle apparaît comme étant "en ligne" pour ses contacts, ce qui indique qu'elle est en train d'utiliser le service de messagerie et qu'elle est susceptible de répondre à un message plus rapidement. L'utilisateur d'une application d'espionnage saisit le numéro de téléphone de la personne qu'il veut suivre, et l'application vérifie alors constamment si la cible est "en ligne" ou non, créant un enregistrement de son activité 24 heures sur 24, 7 jours sur 7. Ces données peuvent ensuite être affichées visuellement, sous forme de graphique, ce qui permet à l'utilisateur de surveiller les habitudes en ligne de sa cible, notamment ses heures d'utilisation régulière de son appareil et ses heures de sommeil, sur une période de plusieurs jours et de plusieurs semaines.

Certaines applications permettent aux utilisateurs de saisir plusieurs numéros de téléphone et de comparer automatiquement l'activité de deux personnes utilisant WhatsApp, pour voir si elles sont en ligne aux mêmes heures et sont donc susceptibles de se parler.

Les applications génèrent des graphiques permettant de voir quand les cibles utilisent WhatsApp et peuvent envoyer des notifications chaque fois qu'une personne est en ligne. Business Insider US

Dans certains cas, les applications se présentent comme des outils utiles pour les parents qui veulent surveillent leurs enfants en ligne. D'autres, cependant, sont plus explicites quant à leur potentiel d'espionnage des conjoints, des collègues et d'autres personnes à leur insu.

Un des sites affiche par exemple : "notre vérificateur et traqueur en ligne WhatsApp a de nombreuses utilisations potentielles. Vous pouvez surveiller des adolescents qui restent éveillés toute la nuit pour discuter en ligne la veille d'un examen, des collègues qui passent plus de temps qu'il ne le faudrait sur WhatsApp, ou même des membres de la famille et des amis qui préparent quelque chose de suspect. Si vous avez désespérément besoin de savoir, nous sommes là pour vous aider."

Une autre application dit dans sa description sur Google Play : "Vous pouvez deviner si votre amant parle à quelqu'un d'autre en regardant son activité en ligne. Vous pouvez comparer le temps passé en ligne par deux personnes. Grâce à la timeline, vous pouvez voir exactement quand cette personne se connecte et se déconnecte. Vous pouvez recevoir des notifications instantanément lorsqu'il est en ligne ou hors ligne. Vous pouvez analyser le temps passé en ligne grâce à différents graphiques."

Les applications sont généralement gratuites, et certaines d'entre elles ont des millions de téléchargements dans le Play Store de Google. Elles n'offrent généralement que des fonctionnalités restreintes ou limitées dans le temps jusqu'à ce que l'utilisateur paie pour des achats dans l'application, et on ne sait pas précisément combien de personnes ont utilisé les services.

Il semble qu'il n'y ait aucun moyen pour les utilisateurs ordinaires de WhatsApp d'éviter d'être suivis. Un outil en ligne a permis de suivre mon activité sur WhatsApp même après que j'ai changé mes options de compte pour désactiver les fonctions "message lu" et "vu à". Un porte-parole de WhatsApp a confirmé qu'il n'y avait aucun moyen de désactiver la fonction "en ligne".

Business Insider US a contacté une douzaine de développeurs d'applications pour leur demander s'ils pensaient que les applications violaient la vie privée des utilisateurs, s'il y avait un moyen de les désactiver et si leurs outils violaient les règles de WhatsApp. Aucun d'entre eux n'a répondu.

Il existe des dizaines de résultats de recherche pour "WhatsApp tracker" sur le Google Play Store, et les applications n'essaient pas de cacher leur objectif. Business Insider US.

WhatsApp fait de la protection de la vie privée sa priorité

WhatsApp a depuis longtemps fait de la protection de la vie privée un élément clé de son offre. Tous les messages sur l'application sont cryptés de bout en bout, ce qui signifie que personne ne peut les lire en dehors de l'expéditeur et du destinataire, y compris WhatsApp lui-même.

"Nous avons pour mission de faire communiquer le monde de manière confidentielle en concevant un produit simple et sûr. De ce fait, que vous envoyiez un message à vos proches ou que vous passiez un appel vidéo à un ami, vos communications restent sécurisées et vous gardez le contrôle dessus. Vos conversations restent entre vous uniquement", explique le site web de l'entreprise.

Ses conditions d'utilisation stipulent que les utilisateurs ne doivent pas "utiliser (ou aider d'autres personnes à utiliser) nos services d'une manière qui ... viole, détourne ou enfreint les droits de WhatsApp, de nos utilisateurs ou d'autres personnes, y compris la vie privée."

Le porte-parole de WhatsApp a confirmé que les applications externes d'espionnage violent les conditions d'utilisation de WhatsApp, ajoutant que la société dispose de systèmes anti-abus pour détecter ces applications et a bloqué des applications similaires dans le passé.

On ne sait cependant pas pourquoi la société n'a rien fait de plus contre ces applications avant qu'elles ne soient signalées par Business Insider US. Les applications font ouvertement la publicité de leurs services sur l'App Store et le Play Store et sur leurs sites web, sans chercher à cacher leur objectif. De même, les outils de surveillance automatisés de Facebook, qui sont conçus pour détecter et interdire les robots et la collecte de données, n'ont apparemment pas détecté l'activité des applications.

Cooper Quintin, de l'EFF, a demandé à WhatsApp de prendre plus d'action pour corriger la "faille" qui permet aux applications de récolter les données des utilisateurs.

"Facebook et WhatsApp adoptent une approche réactive, qui n'a pas réussi à arrêter ces applications jusqu'à ce qu'elles soient portées à leur attention", a-t-il déclaré. "Ce n'est clairement pas la meilleure solution. Ce qu'ils doivent faire, c'est adopter une approche proactive et faire en sorte qu'aucune application ne puisse exploiter cette fonctionnalité."

"S'il y avait 12 applications sur le Play Store, il y en a certainement plus que cela qui ne sont pas sur le Play Store, qui sont distribuées de manière privée".

Facebook, la société mère de WhatsApp, se bat depuis longtemps contre les développeurs tiers qui abusent des données des utilisateurs. Le cabinet politique Cambridge Analytica a détourné des dizaines de millions de données d'utilisateurs de Facebook, ce qui lui a valu une amende de 5 milliards de dollars et des années de bouleversements. Et plus récemment, la société de marketing Hyp3r a pu profiter du laxisme d'Instagram, qui appartient à Facebook, sur la protection de la vie privée pour obtenir des données sur des millions d'utilisateurs et suivre leurs déplacements.