Des arnaqueurs utilisent Touch ID pour valider des paiements in-app

Dans des applications frauduleuses, les utilisateurs sont invités à utiliser Touch ID pour accéder au service. En réalité, ils approuvent un paiement in-app de plusieurs dizaines d'euros.

Le capteur d'empreinte digitale Touch ID est très performant. Il faut quelques secondes à peine pour déverrouiller son iPhone ou encore valider un paiement. De la même manière, il faut quelques secondes pour se faire arnaquer. Des escrocs utiliseraient cette technologie pour effectuer des paiements dans l’application, à l’insu des utilisateurs, rapporte Wired.

Dans certaines applications frauduleuses, l’utilisateur est invité à utiliser Touch ID pour accéder au service. Par exemple, sur l’application "Heart Rate" -désormais supprimée de l’App Store- le rythme cardiaque était mesuré grâce à Touch ID. Sauf que quand l’utilisateur plaçait son doigt sur le capteur, une fenêtre s’ouvrait pour autoriser un paiement in-app de 89,999 dollars, relate Phone Arena. La luminosité de l’écran était volontairement baissée pour que l’utilisateur ne distingue pas la fenêtre.

L'application Heart Rate © Phone Arena

On ne sait pas combien de personnes ont été victimes de ces arnaques. Sur le forum Reddit, une dizaine d'utilisateurs témoignent avoir été escroqués par un procédé similaire à celui utilisé par l'application Heart Rate. Notamment pour une application qui comptait les calories. 

Les possesseurs d'iPhone X protégés 

Les détenteurs des derniers modèles d'iPhone possédant la technologie Face ID (toute la gamme X) ne peuvent pas se faire arnaquer sur ces applications. Car pour valider un paiement dans une application, il faut cliquer sur le bouton latéral avant que Face ID, l'outil de reconnaissance faciale d'Apple, s'active. Ces arnaques devraient se faire plus rares puisque Apple est partie à la chasse de ces applications frauduleuses. Selon Wired, “Heart Rate Monitor,” “Fitness Balance app” et “Calories Tracker app” ont été supprimées de l'App Store.

https://twitter.com/Pauline_Dum Pauline Dumonteil Journaliste BFM Tech