Android va empêcher les applications de modifier vos contacts à votre insu
Android va revoir le système d'autorisations d'accès au carnet d'adresses pour empêcher les applications de modifier librement vos contacts. Une mesure destinée à limiter les risques d'arnaque.
Lors de leur installation, les applications mobiles ont tendance à demander de nombreuses autorisations – y compris plus que nécessaire. Parmi les plus convoitées figure l'accès au carnet de contacts, qui rassemble les noms, les numéros et les adresses mail de tout l'entourage de l'utilisateur. Or, aujourd'hui, une application Android qui obtient l'autorisation de modifier les contacts peut potentiellement intervenir sur l'ensemble du carnet d'adresses. Une possibilité qui pose problème en matière de sécurité, car le logiciel peut effectuer des changements en arrière-plan, sans demander une validation pour chaque modification. Or, une application malveillante peut ainsi remplacer le numéro d'un proche par celui d'un escroc, ajouter de fausses coordonnées ou modifier plusieurs fiches à l'insu de l'utilisateur.
Pour limiter ces risques, Google prépare une nouvelle gestion des autorisations liées au carnet d'adresses, comme l'a repéré Android Authority. Avec la future version majeure d'Android 18, les applications devront passer par une interface fournie par le système pour créer ou modifier une fiche individuelle, ce qui coupera l'accès direct au carnet d'adresses.
Protection Android : une autorisation distincte pour chaque contact
Comme l'explique Google sur son blog destiné aux développeurs, lorsqu'une application voudra enregistrer un numéro de téléphone, elle ouvrira une fenêtre dans laquelle l'utilisateur sélectionnera le contact concerné ou choisira d'en créer un nouveau. L'application ne pourra alors intervenir que sur cette fiche, plutôt que de disposer d'un accès général à l'ensemble du répertoire. L'utilisateur conservera ainsi le contrôle sur les informations ajoutées ou modifiées.
Cette évolution devrait aussi s'accompagner d'une autorisation permettant de consulter les contacts sans pouvoir les modifier. Les deux opérations, lecture et écriture, seront donc mieux distinguées, afin d'éviter qu'une application obtienne davantage de droits que nécessaire.
Certaines applications ont toutefois besoin de gérer plusieurs contacts à la fois. C'est par exemple le cas des gestionnaires de carnets d'adresses, des applications de téléphonie ou de certains outils de blocage des appels indésirables. Aussi, Google prévoit un "accès spécial", baptisé MANAGE_CONTACTS, qui permettra à ces logiciels de conserver un accès plus étendu. Il sera néanmoins réservé aux applications qui en ont réellement besoin.
Google va déployer ces changements en deux temps. La mise à jour Android 17 QPR2, attendue fin 2026, introduira l'autorisation spéciale pour les applications qui doivent gérer plusieurs contacts à la fois. Ce nouveau système sera ensuite obligatoire lors de la prochaine version majeure d'Android, attendue en 2027 et généralement désignée sous le nom Android 18.