L'iPhone semble livrer trop facilement son numéro (màj)

Les précautions oratoires étaient bien de rigueur. ID Mobile SA, éditeur de l'application mogoRoad incriminée dans cette polémique autour de la possibilité pour un développeur de récupérer le numéro d'appel de l'iPhone d'un utilisateur, a clarifié sa position dans un communiqué daté du 1er octobre. Il affirme ne pas avoir exploité la moindre faille de sécurité, et s'être contenté d'utiliser une fonctionnalité commune à tous les systèmes mobiles avancés, qui permet de récupérer l'identifiant MSISDN (dans la plupart des cas, le numéro d'appel) d'un appareil.

« Nous le faisons de façon parfaitement légale et uniquement sur le marché suisse où la législation l'autorise au moyen des connexions aux réseaux mobiles via SMS, WAP ou à travers l'Internet mobile des opérateurs, tout comme d'autres prestataires », affirme ID Mobile SA.

« ID Mobile SA ne s'est jamais caché d'appeler ses utilisateurs après une période de test, ceci est pratiqué depuis 2006 sur toutes les plateformes mobiles, de façon parfaitement légale et professionnelle. Les informations collectées par ID Mobile SA ne sont jamais revendues ou transmises à des tiers », indique l'éditeur, selon qui le fait d'utiliser le numéro d'un utilisateur sans son consentement explicite est toléré en Suisse. « Nous avons transmis ces informations à Apple et espérons que notre Application sera prochainement à nouveau accessible sur l'Apple Store pour les nouveaux utilisateurs », conclut Stéphane Blum, CEO de ID Mobile SA.

Publication initiale, 30 septembre 2009, 18h30.

Plusieurs utilisateurs de l'application Mogoroad Lite, qui propose des informations routières aux Suisses, ont au cours des derniers mois eu la désagréable surprise de recevoir un coup de téléphone d'un commercial leur proposant d'acheter la version payante du logiciel. Problème : ils n'ont jamais sciemment accepté que leur numéro soit transféré ou communiqué à l'éditeur. A priori, les opérateurs ne sont pas en cause. Seule explication restante : l'éditeur a obtenu le numéro par l'intermédiaire de son application, en accédant au système d'exploitation de l'iPhone. Outre un certain manque d'éthique, y'aurait-il une fonctionnalité mal verrouillée au niveau du système ?

Ce qui choque en premier lieu, bien sûr, c'est le fait qu'un éditeur s'arroge le droit d'utiliser une donnée aussi personnelle qu'un numéro de téléphone, sans avoir obtenu le consentement explicite de l'utilisateur. C'est pour éviter ce genre de violation de la vie privée que les applications qui tirent parti du GPS demandent systématiquement, sur iPhone, si l'on accepte que les données liées à notre position soient utilisées par le logiciel.

Le second point qui fâche, c'est le fait que l'éditeur d'une application puisse accéder aux informations de l'utilisateur. « Il est tout à fait possible, pour le développeur de n'importe quelle application iPhone, de récupérer les numéros de téléphone des appareils sur lesquels celle-ci est installée, et ensuite, de les envoyer (par exemple) sur une base de données distante », estime le site Mac4ever, qui s'est le premier fait l'écho de cette étonnante découverte.

Scandale en vue ou tempête dans un verre d'eau ? Difficile à dire pour l'instant. Le kit de développement d'applications iPhone offre des interfaces de programmation (API) qui permettent d'accéder au carnet d'adresses de l'utilisateur, de même que d'autres ouvrent une voie vers vos photos, votre musique ou vos SMS. On ne sait pas pour l'instant si les utilisateurs qui ont reçu ces appels peu délicats stockaient leur numéro dans leur répertoire ou l'avaient renseigné dans les paramètres de l'appareil (Réglages, Téléphone, Mon Numéro).

En janvier dernier, la blogueuse américaine Erica Sadun, spécialiste de l'univers Apple, s'interrogeait déjà sur la possibilité conférée aux développeurs d'accéder au numéro de téléphone de la machine cliente. A l'époque, elle se félicitait qu'Apple n'ait pas documenté cette fonctionnalité dans sa documentation, mais expliquait qu'il était extrêmement simple de l'utiliser.

Mardi, Mac4ever indiquait avoir pris contact avec Apple pour de plus amples informations. La firme n'a pour l'instant retourné aucune réponse, mais Mogoroad a été retirée de l'Apple Store. En dépit de nombreux essais, nous n'avons pas réussi à joindre mercredi son éditeur, ID Mobile SA, dont la ligne sonne systématiquement occupé.

Ici, ID Mobile SA s'est trahi en appelant les utilisateurs de son application, mais n'y aurait-il pas des éditeurs qui récupèrent ces données et les revendent à d'autres. Ainsi, l'honneur est sauf de leur côté, et l'utilisateur ne sait plus à quels saints se vouer lorsqu'il reçoit du spam par SMS... Reste maintenant à voir si Apple bloquera l'accès à cette fonctionnalité, et comment la firme choisira de se prémunir contre l'utilisation indue que peuvent faire les éditeurs tiers des données utilisateurs.