Comment les applications de garderie peuvent espionner les parents et les enfants

Les applications pour crèches sont conçues pour faciliter la vie quotidienne dans les crèches. Les parents peuvent les utiliser, par exemple, pour accéder aux rapports sur le développement de leurs enfants et pour communiquer avec les enseignants. Cependant, certaines de ces applications présentent de graves failles de sécurité. C’est la conclusion à laquelle sont parvenus des chercheurs de la Ruhr-Universität Bochum (RUB), de la Westfälische Hochschule et du Max Planck Institute for Security and Privacy de Bochum, en collaboration avec un partenaire industriel. Ils ont analysé 42 applications de crèches européennes et américaines du point de vue de la sécurité et de la confidentialité. Dans certaines apps, ils ont pu accéder aux photos privées des enfants ; plusieurs apps ont accédé aux données personnelles des utilisateurs sans leur consentement et les ont partagées avec des tiers.

L’équipe dirigée par le Dr Matteo Große-Kampmann, qui a obtenu son doctorat à l’Institut Horst Görtz pour la sécurité informatique de la RUB, et le Dr Maximilian Golla de l’Institut Max Planck pour la sécurité et la vie privée présenteront leurs résultats en juillet 2022 à Sydney, lors du « 22nd Privacy Enhancing Technologies Symposium ». Avant cela, les résultats ont été publiés en ligne.

« Selon le règlement général européen sur la protection des données et la loi américaine sur la protection de la vie privée en ligne des enfants, les données des enfants font l’objet d’une protection particulière », explique Maximilian Golla. « Malheureusement, nous avons constaté que de nombreuses applis ne garantissent pas cette protection. »

Les analyses ont été réalisées en collaboration avec la société AWARE7 GmbH. L’équipe a contacté tous les fabricants d’apps avant la publication et les a informés des vulnérabilités.

Utilisé par des millions de personnes

Pour l’étude, les chercheurs ont analysé les applications Android pour crèches qu’ils ont repérées dans le Google Play Store et qui offrent au moins les caractéristiques suivantes : le développement des enfants et les activités spéciales peuvent être enregistrés dans l’application sous forme de notes, de photos et de vidéos ; l’application dispose d’une fonction de messagerie par laquelle le personnel de la crèche peut communiquer avec les parents ; l’application soutient la direction de la crèche dans les processus administratifs tels que la facturation, la création d’horaires et l’organisation de groupes. Les applications les plus utilisées, « Bloomz » et « brightwheel », ont été téléchargées plus d’un million de fois sur le Google Play Store. Ensemble, toutes les apps ont atteint environ trois millions de téléchargements.

Dans certains cas, les données personnelles sont vendues

Parmi les apps analysées, huit présentaient de graves problèmes de sécurité qui permettraient, par exemple, à des attaquants de voir les photos privées des enfants. Dans 40 apps, les chercheurs ont découvert qu’elles surveillent les parents et les éducateurs : elles collectent le numéro de téléphone et l’adresse électronique de l’utilisateur ainsi que des informations concernant l’appareil et l’utilisation de l’app, comme l’heure à laquelle un bouton a été cliqué. Les fabricants partagent et vendent ces informations et d’autres à des fournisseurs tiers. Un développeur d’applications écrit : « … partager des données avec des partenaires à des fins commerciales, comme le nombre moyen de changements de couches par jour… ». Souvent, les données sont partagées avec Amazon, Facebook, Google ou Microsoft pour des campagnes publicitaires ciblées.

Politiques de confidentialité inadéquates

« Nous avons également examiné les politiques de confidentialité des fournisseurs », souligne Maximilian Golla. « Et une image terrifiante est apparue. De nombreuses politiques ne mentionnaient même pas qu’elles traitaient les données des enfants, et encore moins qu’elles collectaient et vendaient des données, alors que les lois européennes et américaines les y obligent. »

Mais cela ne signifie pas nécessairement que les fournisseurs sont de mauvaise foi. « Nous soupçonnons plutôt qu’il s’agit de problèmes techniques et organisationnels », déclare Matteo Große-Kampmann. Selon les chercheurs, certains fournisseurs agissent par négligence parce que la politique de confidentialité liée n’est pas conforme, notamment parce qu’elle ne contient pas d’informations sur le traitement des données dans l’app ou sur les services offerts et qu’elle n’a souvent pas été mise à jour depuis de nombreuses années.

Les chercheurs espèrent que leurs résultats attireront l’attention sur cette question sensible, étant donné que les données des enfants sont en jeu. « Il va de soi que les responsables de crèches, les gardes d’enfants et les parents ne peuvent pas analyser eux-mêmes chaque application », explique Matteo Große-Kampmann. « Mais au bout du compte, ils doivent assumer la responsabilité de la décision concernant l’app à adopter. »

Directives et listes de contrôle

Selon Maximilian Golla, rejeter les applis de garderie par principe n’est pas une solution praticable, notamment parce qu’il existe des prestataires sans problème de sécurité, qui respectent les règles de protection des données. « S’il n’y a pas d’app officielle, les parents utilisent des services de messagerie comme WhatsApp, ce qui est la pire des solutions en ce qui concerne la protection de la vie privée », souligne-t-il.

Selon les experts en informatique, une bonne idée serait que les experts élaborent des lignes directrices et des listes de contrôle. Par exemple, les agences gouvernementales pourraient formuler des recommandations et les transmettre aux associations qui gèrent les crèches.