Clone2Pwn : des failles de migration de données Android ont permis à des attaquants situés à portée Wi-Fi de voler des données sensibles.

Les outils de migration de données standard proposés par les principaux fabricants Android tels que Samsung, Google et Xiaomi présentent des risques de sécurité, comme l’ont révélé dans une étude récente des chercheurs de l’Institut de sécurité de l’information de l’Université de technologie de Graz (TU Graz) et du Zentrum für sichere Informationstechnologie (A-SIT).

Leurs recherches ont révélé que des vulnérabilités critiques dans tous les outils examinés permettaient aux attaquants situés à portée du Wi-Fi d’espionner les données privées des utilisateurs, telles que les journaux d’appels, les photos et les identifiants de connexion.

L’article « Clone2Pwn: A Systematic Security Analysis of Data Migration Tools in the Android Ecosystem » ou  « Clone2Pwn : une analyse systématique de la sécurité des outils de migration de données dans l’écosystème Android » a été publié lors du Symposium européen sur la recherche en sécurité informatique (ESORICS) 2026.

Risques de sécurité liés au clonage de téléphones

Les outils dits de clonage de téléphone ou de migration de données sont conçus pour faciliter le passage d’un ancien smartphone à un nouvel appareil. Leur objectif est de transférer l’ensemble des données, paramètres et applications de l’ancien appareil vers le nouveau, sans interruption de service.

Ces outils établissent généralement une connexion Wi-Fi directe entre deux smartphones sans serveur externe. Cependant, une étude menée par les chercheurs en sécurité informatique Florian Draschbacher, Lukas Maar, Lorenz Schumm, Rene Denifl, Lukas Treffner et Stefan Mangard, basés à Graz, démontre que cette facilité d’utilisation a un coût en matière de sécurité.

Dans toutes les applications de migration de données examinées, provenant de sept fabricants Android (Google, Samsung, Vivo, Xiaomi, Oppo, Huawei et Honor), l’équipe a découvert des vulnérabilités permettant à des attaquants de manipuler le transfert ou de l’intercepter. Il leur suffisait de se trouver à portée radio des appareils, soit environ 20 à 45 mètres en intérieur.

Grâce à un équipement peu coûteux (moins de 100 euros), ils ont pu intercepter les communications. Les lieux où de nombreux nouveaux téléphones portables sont installés chaque jour, comme les magasins d’électronique spécialisés ou les boutiques de téléphonie mobile, sont particulièrement vulnérables à ce type d’attaques.

La vie numérique sous les projecteurs

Le risque potentiel lié à ces vulnérabilités est considérable, car la quasi-totalité du contenu d’un smartphone est transférée lors d’une migration de données. Dans le cadre de leurs investigations, les chercheurs ont non seulement pu accéder aux SMS, aux contacts et aux photos, mais aussi extraire des informations hautement sensibles telles que des données de santé, les identifiants de connexion aux réseaux Wi-Fi enregistrés et les mots de passe d’applications. Dans certains cas, il a même été possible d’injecter un logiciel malveillant directement dans le nouvel appareil via des packages d’applications altérés lors du transfert.

Des milliards d’utilisateurs touchés : les fabricants réagissent

L’importance de cette découverte est manifeste au vu des chiffres d’installation. Les applications analysées ont été téléchargées plus de 12 milliards de fois au total et sont préinstallées sur la quasi-totalité des appareils Android. « Comme ces applications sont préinstallées et facilitent grandement le transfert de données vers un nouveau téléphone portable, ces failles de sécurité ont un impact considérable », explique Draschbacher.

L’équipe de l’Université technique de Graz avait déjà signalé les vulnérabilités aux fabricants dans le cadre d’une procédure de divulgation responsable. Les fabricants avaient confirmé la gravité des problèmes (dont cinq alertes de sécurité classées comme critiques). Les sept fabricants ont désormais publié des mises à jour de sécurité pour corriger les vulnérabilités signalées.

Avant de transférer des données entre deux smartphones, les chercheurs recommandent aux utilisateurs de « s’assurer que la dernière version de l’application de migration de données est installée sur les deux appareils et d’installer systématiquement toutes les mises à jour nécessaires ». Dans certains cas, cela peut nécessiter la mise à jour complète du système d’exploitation.

Les fabricants Android et les applications de transfert de données suivants ont été examinés :

• Google Android : Android Switch
• Samsung : Interrupteur intelligent
• Vivo : EasyShare
• Xiaomi : Mi Mover
• Oppo : Téléphone clone
• Huawei : Clonage de téléphone
• Honor : Clonage d’appareil

https://www.tugraz.at/news/artikel/sicherheitsluecken-datentransfertools