Pourquoi Gmail remplace les codes SMS par des codes QR – et ce que cela signifie pour vous
infohightech ·
Google souhaite abandonner les SMS comme méthode d'authentification à deux facteurs pour Gmail et passer à une approche plus sécurisée utilisant des codes QR.
Réduire les abus liés aux SMS
Dans une conversation par e-mail avec Forbes publiée dans un article paru dimanche , le porte-parole de Gmail, Ross Richendrfer, a décrit ce changement à venir. Au lieu de saisir votre numéro et de recevoir un code à six chiffres par SMS, vous verrez un code QR que vous pourrez scanner avec l'appareil photo de votre téléphone. Ross Richendrfer a déclaré que Google effectue ce changement pour « réduire l'impact des abus de SMS à l'échelle mondiale ».
Il est fortement recommandé d'utiliser l'authentification à deux facteurs avec vos comptes en ligne pour vérifier votre identité et vous protéger contre les connexions suspectes ou malveillantes. Cependant, certaines formes d'authentification à deux facteurs sont meilleures que d'autres. Une méthode courante consiste à recevoir un code de confirmation par SMS. Cependant, ce type de communication non chiffrée peut être exploité par les cybercriminels.
Pourquoi les codes QR ?
Si vous vous demandez pourquoi les codes QR, Ross Richendrfer et la responsable des communications de sécurité de Google, Kimberly Samra, se sont concentrés sur les vulnérabilités de l'authentification par SMS.
Un escroc peut usurper un tel message pour vous inciter à partager le bon code de vérification. Il se peut que vous n'ayez pas toujours accès à l'appareil sur lequel vous recevez le code. Et grâce à l'échange de carte SIM, un opérateur mobile peut être amené à transférer le numéro de téléphone de la victime, ce qui permet à l'escroc de recevoir des SMS, annulant ainsi la valeur de sécurité de l'authentification.
C'est pourquoi une application d'authentification dédiée, telle que Microsoft Authentication ou Google Authenticator, constitue une alternative plus sûre. Les clés de sécurité physiques sont également beaucoup plus sûres que les SMS. Mais ces méthodes peuvent prendre du temps à mettre en place, ce qui explique probablement pourquoi Google opte pour une approche plus simple mais toujours plus solide des codes QR.
Actuellement, Google utilise la vérification par SMS pour deux raisons : la sécurité et le contrôle des abus, a expliqué Ross Richendrfer à Forbes et ZDNET. Le premier objectif est de s'assurer que l'entreprise traite avec le même utilisateur que lors des interactions précédentes. Le second est de s'assurer que les escrocs n'abusent pas des services de Google. Un exemple de ce dernier cas se produit lorsque des cybercriminels créent des comptes Google pour envoyer du spam et des logiciels malveillants.
Une autre astuce utilisée par les escrocs est ce qu'on appelle le « traffic pumping », aussi connu sous le nom de « inflation artificielle du trafic » ou « fraude au péage ». Apparue au cours des deux ou trois dernières années, « les fraudeurs tentent d'inciter les fournisseurs de services en ligne à envoyer un grand nombre de messages SMS à des numéros qu'ils contrôlent, et sont ainsi payés à chaque fois qu'un de ces messages est délivré », selon Ross Richendrfer.
Il y a des avantages
Bien que les codes QR ne soient peut-être pas aussi idéaux que les applications d'authentification ou les clés de sécurité physiques, ils offrent quelques avantages, selon Google.
Premièrement, les codes QR éliminent le code d'authentification numérique, ce qui fait qu'aucun escroc ne peut intercepter ou exploiter ce code. Deuxièmement, ils ne dépendent d'aucune protection anti-abus ou anti-échange de SMS éventuellement en place auprès de votre opérateur mobile.
« Les codes SMS sont une source de risques accrus pour les utilisateurs », a ajouté Ross Richendrfer, selon Forbes. « Nous sommes heureux de présenter une nouvelle approche innovante visant à réduire la surface d'action des attaquants et à protéger les utilisateurs contre les activités malveillantes. »
Quand cette transition pourrait-elle se produire ?
Ross Richendrfer n'a pas donné de calendrier précis pour le changement, mais a déclaré : « Au cours des prochains mois, nous allons réimaginer la façon dont nous vérifions les numéros de téléphone » et a demandé aux gens de « nous attendre à plus d'informations à ce sujet dans un avenir proche ». Étant donné les faiblesses et les limites de l'authentification par SMS, ce changement ne pouvait pas arriver assez tôt.