Apple l’affirme : l’App Store est « l’endroit le plus sûr pour trouver les apps que vous aimez » grâce aux équipes chargées d’examiner de près les applications soumises par les développeurs du monde entier. Un message de sécurité repris aussi par Google pour le Play Store, qui est régulièrement mis à mal par la validation d’escroqueries dans les boutiques officielles.

Coup sur coup, deux exemples montrent que l’App Store n’est pas cette plateforme « sûre et fiable » si souvent vantée par Apple. Deux applications malveillantes sont passées dans les trous de la raquette. La première est une app macOS baptisée Ledger Live, distribuée sur le Mac App Store. Elle singeait celle de Ledger, un wallet de cryptos bien connu. Une fois téléchargée et installée, « Ledger Live » réclamait des utilisateurs leurs phrases de récupération (seed). 

L’arnaque crypto d’un wallet validé par l’App Store

En possession de cette information, les attaquants obtenaient un accès complet aux portefeuilles de leurs victimes ; ils pouvaient par la suite facilement transférer les actifs numériques vers des adresses externes. Ces fonds étaient redirigés vers plus de 150 adresses de dépôt liées à KuCoin, une plateforme d’échange centralisée qui a temporairement gelé les comptes concernés (jusqu’au 20 avril), le temps que les autorités se saisissent de l’affaire.

KuCoin n’est a priori pas impliquée dans l’arnaque en elle-même, néanmoins elle a déjà été épinglée par le passé pour des manquements liés à la lutte contre le blanchiment. C’est pourquoi son rôle ici attire l’attention. Selon le chercheur en sécurité spécialisé dans la blockchain Zachary Wolk, alias ZachXBT, l’app frauduleuse a volé pour 9,5 millions de dollars auprès d’une cinquantaine d’utilisateurs.

Cette fausse application est éditée par un compte qui n’est bien sûr pas du tout associé à Ledger, dont on trouvera l’app légitime pour Mac directement sur son site web. Une application pour iPhone est aussi disponible sur l’App Store, à cette adresse. Après des signalements, Apple a supprimé l’application de sa boutique.

C’est vous le produit

Autre exemple de la difficulté, pour Apple mais aussi pour Google, d’assurer la sûreté des utilisateurs de leurs boutiques : l’app Freecash. Celle-ci a atteint le sommet du classement des applications gratuites de l’App Store aux États-Unis au mois de janvier, bien aidée par des publicités sur TikTok promettant aux utilisateurs de recevoir de l’argent simplement en consultant le flux vidéo du réseau social. 

Ces réclames laissaient entendre que les utilisateurs seraient embauchés directement par TikTok pour regarder des vidéos. Comme l’explique Malwarebytes, TikTok a supprimé plusieurs de ces annonces car elles enfreignaient ses règles en matière de représentation financière. Mais le mal est fait : des utilisateurs ont téléchargé Freecash. Et plutôt que d’être rémunérés pour scroller sans fin dans TikTok, ils étaient poussés à installer des jeux mobiles en échange d’une somme d’argent.

Le modèle de cette app est redoutable : diriger les utilisateurs vers des jeux où ils sont susceptibles de dépenser de l’argent, de voir des publicités et d’alimenter les bases de données avec des informations très sensibles. Sans compter que chaque jeu installé peut lui aussi collecter des données personnelles. Des listes d’utilisateurs vulnérables aux escroqueries ou à des comportements compulsifs en ligne s’échangeraient entre courtiers de données ; ces profils peuvent être encore affinés et ciblés grâce à ce genre d’application.

Suite à un signalement de TechCrunch, Apple et Google ont supprimé Freecash de leurs boutiques respectives. Almedia, l’éditeur allemand de l’application, dément les accusations selon lesquelles il gonflerait artificiellement le trafic vers sa plateforme ou aurait recours à des techniques de marketing trompeuses. Et en veut pour preuve le fait que les deux contrôleurs d’accès validaient régulièrement les mises à jour de l’app…

Mais la présence de Freecash sur l’App Store est elle-même suspecte. L’application a en effet connu un parcours mouvementé : une première version, publiée à mars 2024 par Almedia, a été retirée deux mois plus tard. Quelques mois plus tard, l’app Rewards développée par 256 Rewards a été rebaptisée Freecash, sans qu’on sache si Almedia a acquis le compte développeur associé. C’est cette seconde version qui a grimpé dans les classements de la boutique.

Utiliser un autre compte développeur pour contourner un bannissement est une pratique courante, mais contraire aux règles de l’App Store. Tout comme les techniques dites de « bait-and-switch », visant à attirer l’utilisateur avec une offre avant de lui en proposer une autre.