Gmail, Outlook, iCloud Mail… : des millions d'utilisateurs exposés à des failles de sécurité

D'importantes brèches de sécurité ont été découvertes dans les messageries électroniques Gmail, Outlook, Apple iCloud Mail, Yahoo et AO qui s'avèrent incapables de filtrer efficacement les pièces jointes malveillantes.

Les services de messagerie comme Gmail, Outlook ou iCloud sont réputés pour leur efficacité et leur sécurité, il n'est donc pas étonnant que des millions d'internautes les aient adoptées. Les utilisateurs leur font pleinement confiance et ont donc tendance à ne pas se méfier lorsqu'ils reçoivent un e-mail. Après tout, s'il est arrivé dans la boîte de réception, c'est qu'il a passé les tests de sécurité, et donc qu'il n'y a pas de danger. Mais est-ce vraiment le cas ? Les chercheurs en cybersécurité de SquareX ont testé les outils de défense des principaux fournisseurs de messageries en ligne, à savoir Gmail, Outlook, Yahoo, AOL et Apple iCloud Mail, et ont eu la mauvaise surprise de découvrir une série de failles de sécurité critiques. D'après les tests qu'ils ont menés, ces messageries électroniques ne sont tout simplement pas capables de filtrer les pièces jointes malveillantes, ce qui met en péril des millions d'internautes.

Gmail, Outlook, iCloud Mail… : des messageries électroniques pas si sûres que ça

Les chercheurs ont rassemblé cent échantillons de documents malveillants, répartis en quatre catégories : des échantillons de documents malveillants originaux provenant de MalwareBazaar, des versions légèrement altérées (changements dans les métadonnées et les formats de fichiers), des documents modifiés à l'aide d'outils d'attaque existant depuis de nombreuses années, ainsi que des documents de base dotés d'une macro qui exécute des programmes sur les appareils des utilisateurs. Ces documents ont été envoyés par l'intermédiaire d'un fournisseur de messagerie tiers, ProtonMail, ainsi que par les fournisseurs de messagerie principaux, dont Gmail, Outlook, Yahoo, AOL et Apple iCloud Mail.

Il en ressort que, si les fournisseurs de messagerie tels que Gmail et Outlook ont fait preuve de capacités de détection de base en identifiant des échantillons de documents malveillants non modifiés, ils ont échoué à détecter des documents malveillants modifiés à l'aide d'outils d'attaque facilement accessibles. Une faille de cybersécurité flagrante qui constitue une menace potentielle pour des millions d'utilisateurs. "Si l'e-mail est délivré, l'utilisateur peut interagir avec la pièce jointe et la télécharger sur son système", regrette SquareX dans son rapport. Pire encore : des fichiers facilement identifiés comme malveillants par des antivirus sont parvenus à contourner les solutions de Google, Microsoft et compagnie, notamment les fichiers .ppt et .xls.

Étant donné que les services de courrier électronique sont généralement considérés comme des canaux de communication sécurisés, ces résultats soulèvent d'importantes questions quant à l'efficacité des mesures de sécurité existantes et au faux sentiment de sécurité qu'elles procurent à des millions d'utilisateurs et d'entreprises dans le monde entier. Comme l'explique Vivek Ramachandran, le fondateur et PDG de SquareX, à Forbes, les internautes font trop confiance aux géants de la technologie pour analyser les pièces jointes échangées par mail. "Des milliards d'internautes et de PME font aveuglément confiance aux fournisseurs de messagerie Web publics pour analyser les pièces jointes des documents à la recherche de risques de sécurité", explique l'entreprise. Aussi, SquareX enjoint aux "fournisseurs de messagerie Web de publier de manière transparente les détails des limites de leur technologie" afin de permettre aux utilisateurs de prendre conscience "des risques et de la nécessité d'utiliser des produits de sécurité supplémentaires".