Les 1.000 apps mobiles les plus téléchargées révèlent un angle mort massif : sur l’appareil, protections faibles, SDK opaques et code IA creusent le risque.
En bref
- Le risque principal apparaît sur le terminal
- L’IA accélère du code moins relu
- Les SDK tiers restent largement opaques
Elles sortent plus vite. Elles ne sont pas plus sûres. C’est le signal qui remonte de l’analyse des 1.000 principales applications mobiles des stores officiels, dans cinq univers, de la finance au divertissement. Et le point gênant, pour les équipes produit comme pour les RSSI, est assez simple : une fois l’app sur le téléphone, le contrôle baisse d’un cran.
Le mobile va plus vite que la sécurité
On maîtrise encore le dépôt de code, les API, un peu le trafic réseau. Mais l’application, elle, continue sa vie sur des appareils qui ne sont pas vraiment de confiance, avec des SDK tiers, et une surface d’attaque bien concrète : rétro-ingénierie, altération, extraction de secrets. Résultat ? Le risque le plus net n’est plus seulement à la compilation, il est sur l’appareil.
L’autre accélérateur, c’est l’IA. Gartner estime que 25% des défauts logiciels en production en 2027 viendront d’une revue humaine insuffisante de code généré par l’IA, contre moins de 1% en 2023. Le message n’est pas subtil : on livre plus, on relit moins, et les défauts se déplacent jusque dans le runtime.
Le top 1.000 des stores confirme le même angle mort
L’évaluation a porté sur les protections contre la rétro-ingénierie, la falsification, l’exposition d’identifiants, les communications non sûres et les fuites de données, une fois l’application en conditions réelles. C’est là que les trous apparaissent. Pas mal de faiblesses décrites sont décidées très tôt : absence de protection du code, validation TLS faible, secrets laissés dans le binaire, ou incapacité à distinguer un terminal sain d’un terminal compromis.
Et non, les contrôles du store ou l’analyse statique ne voient pas tout. Ce qui casse se révèle surtout quand l’app tourne hors du périmètre de l’entreprise.
Des catégories très exposées, pour des raisons différentes
La finance cumule les permissions les plus intrusives, biométrie, SMS, localisation, contacts ou caméra, sans afficher pour autant un niveau de protection à la hauteur. Les apps de voyage, elles, concentrent des données de déplacement, d’itinéraires, d’identité et d’opérations métier. Quand presque la moitié manque de protection sérieuse contre la rétro-ingénierie, on comprend vite le problème pour les voyages d’affaires ou les visites clients.
Côté divertissement, le contraste est rude : collecte massive de données utilisateur et appareil, dépendance forte à la publicité, à l’analytics et à la diffusion de contenu, mais protections faibles. Avec en plus une contrainte spécifique, protéger les contenus contre le piratage.
Les apps food et drink passent souvent sous le radar, alors qu’elles gèrent paiements, adresses de livraison, fidélité, historique de commande et localisation. Même logique pour les apps lifestyle, bâties sur les routines, les préférences et les comportements personnels, alors que cette catégorie affiche parmi les faiblesses cryptographiques les plus marquées et parmi les plus faibles niveaux de protection applicative.
Le vrai nœud, ce sont les SDK fermés sans inventaire
Bon, le chiffre qui pique est ailleurs : 60% des SDK tiers embarqués dans ces apps sont en closed source, et la plupart arrivent sans SBOM. En gros, les entreprises dépendent de composants qu’elles n’ont pas écrits, qu’elles voient mal, et dont elles n’ont pas l’inventaire réel.
Du coup, le sujet dépasse le simple scanning de code source ou la SCA. Sans visibilité, ces outils perdent une partie de leur intérêt. Et les entreprises expédient vers leurs clients des applications plus exploitables qu’avant, tout en sachant moins bien ce qu’elles contiennent.
