Selon une série de Tweets d’un chercheur en sécurité répondant au pseudonyme d’Elliot Alderson, certains smartphones du constructeur Wiko seraient vendus avec deux applications tierces préinstallées, notamment ApeSaleTracker et ApeStsMonths. Ces applications appartiennent à la société chinoise Tinno Mobile Technology Corp basée à Shenzhen, entreprise dont Wiko est une filiale.« Salut @WikoMobile! Parlons des applications ApeSaleTracker et ApeStsMonths trouvées dans vos téléphones. Ces applications sont des applications système préinstallées qui envoient régulièrement et silencieusement les informations de l'utilisateur à un tiers chinois appelé Tinno par HTTP ou SMS sans le consentement de l'utilisateur », a-t-il déclaré.
Et de poursuivre en expliquant aux internautes que « Comme le nom de ces applications le suggère, elles sont utilisées par Tinno pour suivre le nombre d’appareils actifs qu’ils ont dans le monde. Tinno Mobile Technology Corp (aka Tinno) est une société chinoise basée à Shenzhen qui fabrique et vend des terminaux mobiles. »
« Lorsque vous démarrez votre périphérique @WikoMobile, le StsMonthsBootReceiver de ApeStsMonths (aka stsMonths) démarre le service StsMonths. Dans la fonction init, il enregistre les récepteurs aux actions : DATE_CHANGED, STS_MONTHS, AIRPLANE_MODE, CONNECTIVITY_CHANGE. Il a également mis une alarme "envoi". »
« Lorsque l'alarme est déclenchée, @WikoMobile se verra envoyer le numéro IMEI de l’utilisateur, l'emplacement géographique du GSM, le numéro de série, la version de construction en texte clair sur http://eservice.tinno.com ... Tous les mois ! »
« De plus, lorsque vous démarrez votre périphérique @WikoMobile, le SaleTrackerBootReceiver de ApeSaleTracker (aka STS) lance sous certaines conditions le service SaleTrackerService. »
« En tant que StsMonthsService, le registre SaleTrackerService reçoit les destinataires de STS_REFRESH, ACTION_SMS_SEND, ACTION_SMS_DELIVERED, AIRPLANE_MODE et CONNECTIVITY_CHANGE. »
« Selon la disponibilité du réseau, cette application enverra l'IMEI utilisateur, le numéro de client, le numéro de produit, le numéro de série, la version de construction par HTTP ou SMS. »
En somme, il affirme que le numéro IMEI de l’utilisateur, le numéro de client, la GSM cell location, le numéro de série du smartphone, la version de l’OS du smartphone sont envoyés au serveur de Tino, le tout en clair, via une requête HTTP et donc facile à intercepter pour quiconque connaîtrait l’existence de ce mécanisme.
Wiko a très vite réagi ! En réponse à ce Tweet, l’entreprise a envoyé les utilisateurs vers sa page où elle déclare que :
« Wiko est une entreprise responsable qui a toujours placé ses clients au centre de ses préoccupations. Les smartphones Wiko sont équipés de l’application STS (Sales Tracking System) dont la finalité est d’établir des statistiques de ventes. Les données collectées par le système STS sont des données d’ordre technique, notamment le numéro IMEI, le numéro de série, le nom du modèle du téléphone, et la version du système d’exploitation Android. L’activation se fait au premier allumage, et chaque mois, exclusivement via une connexion Internet, et jamais par SMS. Aucune donnée relative à l’utilisateur, à l’utilisation du smartphone ou des applications n’est collectée.
« Wiko prend les questions relatives aux données personnelles très au sérieux et a volontairement initié en 2017 un audit de l’ensemble de ses traitements de données personnelles, qui vise notamment à traiter ce sujet. Cet audit a été réalisé par le cabinet spécialité CIL Consulting by TNP (http://www.protection-des-donnees.fr/). Wiko a toujours eu la volonté de traiter les données clients en conformité avec la règlementation, et se prépare depuis plusieurs mois à l’entrée en vigueur du RGPD au mois de mai 2018. »
Source : Tweets Elliot Anderson, réponse de Wiko
Et vous ?
Qu'en pensez-vous ? 
Envoyé par Old Geek
