L'appli qui est une appli météo jusqu'à ce qu'elle ne le soit plus
Une enquête de 9to5Mac publiée le 17 juillet a trouvé plus de 60 applis sur l'App Store qui font exactement ce que montrent leurs fiches, à condition que vous ne soyez pas au Brésil. Ouvrez-en une depuis une adresse IP brésilienne et l'outil de navigation, le guide de voyage ou le widget météo se transforme en plateforme de paris en ligne.
Elles ne se cachaient pas non plus dans l'ombre. Les utilisateurs brésiliens parcourant les classements de la boutique en Navigation, Voyage et Météo remarquaient depuis un moment un nombre croissant d'entrées grossièrement faites près du sommet, beaucoup avec des icônes d'animaux produites par des générateurs d'images. L'une d'elles au moins a atteint la première place de la catégorie Météo.
L'examen a regardé l'appli depuis le mauvais pays
Pourquoi c'est important : le contrôle censé attraper cela est fixé géographiquement, et le comportement qu'il devait attraper se déclenche géographiquement. L'examen inspecte la soumission depuis là où se trouve l'examinateur. L'appli inspecte l'utilisateur et décide en conséquence. Ces deux faits ne se rencontrent pas.
Tout le mécanisme est là, et il vaut la peine de le dire clairement car la conclusion dépasse le jeu d'argent. Un macaron d'approbation sur une fiche certifie qu'un examinateur, en un lieu, à un instant, a vu un comportement acceptable. Il ne certifie pas ce que fait le logiciel pour un utilisateur ailleurs. Toute règle appliquée au moment de l'examen, plutôt qu'en continu sur le terrain, hérite du même angle mort.
Le motif était visible dans les métadonnées
Ce qui rend ce cas instructif, c'est à quel point la fraude était lisible de l'extérieur. Les applis provenaient pour la plupart de comptes développeur ne portant qu'une seule publication, avec des noms semblant provenir du Vietnam et d'autres pays hors du Brésil. Elles partageaient des politiques de confidentialité quasi identiques. Elles se regroupaient autour de 15 Mo. Aucune n'enregistrait de mise à jour après publication.
La méthode de fabrication était documentée publiquement. Un dépôt de code contenait des instructions pour assembler des applis simples et rapidement produites, avec des icônes d'animaux, dragons, boeufs, lapins, rats et tigres, capables de rediriger à distance les utilisateurs vers des sites de paris tout en présentant un visage innocent à l'examen. Ce n'était pas une compromission sophistiquée de chaîne d'approvisionnement. C'était une recette, suivie en série.
Le régulateur a bougé avant les plateformes
L'essentiel : la pression de mise en conformité vient de l'État, pas de la boutique. Le 15 juillet, le ministère brésilien de la Justice a notifié Apple et Google en leur donnant cinq jours ouvrables pour répondre à trois questions : comment ils détectent les applis qui dissimulent ou altèrent les fonctions de pari après approbation, comment ils vérifient que les opérateurs disposent d'un agrément fédéral, et comment ils empêchent les mineurs d'accéder aux services de jeu. Apple n'avait pas répondu aux sollicitations de l'enquête au moment de sa publication.
C'est la deuxième fois cette année que les autorités brésiliennes pressent Apple sur les applis de paris, après des notifications sur les contrôles d'âge en avril et une mise à jour des règles en mai. Une plateforme qui a déjà révisé sa politique une fois et à qui l'on repose la même catégorie de question est une plateforme dont c'est la détection, et non la politique, qui est en cause.
Ce qu'un opérateur européen devrait en retenir
Deux points pratiques. D'abord, si vous publiez des logiciels via les boutiques d'applications, ne présentez pas l'approbation de la boutique comme un contrôle de conformité dans votre propre documentation. Elle atteste qu'une soumission a passé une vérification à un instant donné, et les régulateurs de plusieurs marchés démontrent désormais publiquement qu'ils connaissent la différence.
Ensuite, si votre politique d'équipement traite les boutiques officielles comme la source de confiance rendant inutile de se soucier de l'installation hors boutique, cette hypothèse mérite une réserve. La confiance est réelle mais partielle : elle filtre bien les logiciels malveillants évidents et mal le comportement conditionné par la localisation. Dans l'UE, où le règlement sur les services numériques impose aux plateformes des obligations relatives à la protection des mineurs, la même technique de dissimulation qui a caché un casino derrière une icône météo cacherait n'importe quoi d'autre à un examinateur avec la même efficacité. Supposez que la boutique attrape ce qu'elle peut voir, et placez vos propres contrôles là où elle ne le peut pas.
À lire ensuite: Apple a augmenté ses prix de quatre façons | Un téléphone, une IA différente à chaque frontière
