Gmail sur Android : un bug permet de se faire passer pour une autre personne

Un bug a été découvert au sein de l'application mobile de Gmail sur Android : il permet de tromper le destinataire et d'imiter n'importe qui.

Yan Zhu est une spécialiste de la sécurité travaillant avec l'EFF ainsi qu'avec le MIT. Elle déclare avoir découvert un petit problème sur l'application Android de Gmail publiée par Google. Il est effectivement possible de changer le nom d'affichage en se rendant dans des paramètres d'un compte.

Dans les options, il suffit de spécifier un nom puis d'ajouter une adresse email de confiance entre deux ensembles de guillemets, par exemple Admin ""security@google.com"". Yan Zhu explique que le second ensemble de guillemets active un bug masquant l'adresse email réelle de l'expéditeur.



Cela signifie donc que n'importe qui peut se faire passer pour une entité officielle afin d'obtenir certaines informations voire d'inviter la victime à saisir des informations confidentielles ou bancaires sur des sites frauduleux. Certes, le bug en question ne concerne que cette application mobile, mais de plus en plus de personnes consultent leurs email sur un smartphone. Reste que selon Google, il ne s'agit « pas vraiment d'une alerte de sécurité. :) »

Pour cette raison, Yan Zhu a décidé de publier cette petite découverte sur Twitter. On lui a notamment suggéré de se faire elle-même passer pour l'un des fondateurs de Google auprès de l'équipe de sécurité pour les inciter à corriger le problème...