Pourquoi certaines applications demandent des contacts (et ce qu'elles en font réellement)

Qu'ont en commun Pinterest, Microsoft Edge, TikTok et Instagram ? Ils essaient tous d’accéder à vos contacts. En fait, de nombreux jeux et applications disponibles sur le Google Play Store demandent la même autorisation, même s'ils n'ont apparemment aucune raison de le faire. Voici pourquoi vous devez être prudent lorsque vous accordez cette autorisation.

Vous vous attendriez à ce que seules les applications de messagerie et de communication demandent l’autorisation d’accéder à vos contacts. Cependant, presque toutes les applications de réseaux sociaux populaires nécessitent l’autorisation d’accéder à vos contacts. Pinterest, TikTok, Facebook, Instagram, Twitter et même LinkedIn veulent ces données.

Il ne s’agit pas seulement des médias sociaux. Microsoft Edge, un navigateur téléphonique, récupère vos contacts. PicsArt est une application d'édition de photos et de vidéos avec plus d'un milliard de téléchargements (de loin l'utilitaire le plus populaire de ce type), et elle souhaite également vos contacts. Même des jeux comme Free Fire demandent l’accès à votre répertoire.

Vous n'avez presque jamais besoin d'accorder l'accès à vos contacts, sauf s'il s'agit d'une application de messagerie comme Telegram, Signal ou WhatsApp. Même dans ces cas, vous pouvez saisir manuellement les numéros de téléphone sans exposer l’intégralité de votre répertoire.

La plupart du temps, la raison fournie par ces applications est simplement une « fonctionnalité d’application » ou quelque chose d’aussi vague. Les méta-applications et TikTok déclarent explicitement (sur leurs pages Play Store) qu'elles utilisent les données à des fins d'analyse, de publicité et de marketing.

Les pages n'expliquent pas exactement comment elles procèdent, mais la façon dont cela fonctionne habituellement est que ces applications téléchargent vos listes de contacts sur leurs serveurs pour vous profiler ainsi que toutes les personnes figurant dans votre liste de contacts (plus d'informations à ce sujet dans quelques-unes).

Pour l'utilisateur final, la seule « fonctionnalité » concerne les suggestions basées sur les contacts. Fondamentalement, ces applications analyseront vos contacts par rapport à leur base de données d'utilisateurs et trouveront des personnes que vous pourriez connaître. Cela peut remplir une liste suivante « Vous savez peut-être » ou remplir automatiquement des suggestions dans des formulaires texte.

Une fois que vous avez appuyé sur « Autoriser » dans « Autoriser l'accès aux contacts ? » invite, l'application peut analyser instantanément l'intégralité de votre carnet d'adresses. Il peut voir les noms, les numéros de téléphone, les adresses e-mail associées ou d'autres informations que vous avez peut-être incluses lors de l'enregistrement d'un contact.

À partir de là, l’application est libre de faire ce qu’elle veut avec ces données. Il peut télécharger instantanément toutes ces informations sur le serveur ou surveiller en permanence votre liste de contacts pour les mises à jour et synchroniser les modifications en temps réel.

C’est le problème de cette autorisation Android particulière, et ce qui la rend si sensible. Il n'y a aucun moyen de l'annuler, car même si vous le révoquez plus tard, une fois que les données quittent votre appareil, elles ne sont plus sous votre contrôle. Il peut être copié, diffusé ou volé, de sorte qu’il peut finir n’importe où. Vous ne pouvez pas supprimer la liste téléchargée une fois que vous avez accordé l'autorisation, même si vous désinstallez l'application.

Cela ne s'arrête pas là. Les applications peuvent également demander une autre autorisation connexe qui leur permet de lire vos journaux d'appels et vos métadonnées, qui vous appelez, à quelle fréquence, quand et pendant combien de temps sont tous enregistrés dans les journaux d'appels. Heureusement, des données sensibles comme celles-ci ne sont pas faciles d’accès. Une application doit devenir l'application de téléphone ou d'assistant par défaut si elle souhaite accéder aux enregistrements d'appels. Néanmoins, il existe des applications comme TrueCaller conçues pour remplacer ces valeurs par défaut, de sorte que les journaux d'appels et les métadonnées se retrouvent régulièrement sur des serveurs tiers.

J'en ai déjà parlé plus tôt en expliquant pourquoi les applications essayaient de copier des listes de contacts en premier lieu, mais cela va au-delà de l'utilisation propre. L’application qui a initialement supprimé la liste de contacts n’est pas la seule à pouvoir y accéder. Ils peuvent vendre ces informations à d’autres. Les courtiers en données négocient, vendent et louent des listes de contacts sur le marché.

Les listes sont croisées avec des listes provenant d'autres sources et reliées entre elles. Chaque contact, un nœud avec un nom, un numéro, une adresse personnelle ou une adresse e-mail, peut être le point de départ d'un profil riche. En regroupant d'autres sources, ces courtiers peuvent combler les lacunes concernant l'emplacement, l'emploi, les données démographiques et autres données personnelles. Même une liste partielle peut être filtrée ou regroupée en segments significatifs.

Entre les mains d'un télévendeur, cette liste est désormais un outil permettant de lancer une campagne publicitaire ciblée. Des acteurs douteux peuvent utiliser ces listes de contacts pour spammer ou arnaquer des personnes ou créer des stratagèmes d'ingénierie sociale élaborés.

De plus, les violations de données se produisent tout le temps. Des milliards de documents (y compris des noms, des numéros de téléphone et des adresses e-mail) circulent déjà sur Internet, et les entreprises technologiques sont régulièrement victimes de fuites et de violations de données. Même les géants comme Meta et Apple ne sont pas en sécurité.

Votre nom et votre numéro de téléphone sont probablement dans le cloud (même si vous ne les avez jamais partagés en ligne)

Vous pouvez probablement déjà rassembler cela vous-même, mais vos informations personnelles peuvent se retrouver dans ces endroits même si vous ne les avez pas personnellement téléchargées. Il suffit que quelqu'un enregistre votre numéro de téléphone ou votre adresse e-mail avec votre nom et accorde l'autorisation aux contacts.

C'est ainsi que les entreprises technologiques créent des profils « fantômes » sur les gens. Même si vous n'avez jamais créé de compte Facebook, Meta possède probablement toujours un compte fantôme avec votre nom, généré sur la base des listes de contacts téléchargées sur la plateforme.

C'est également ainsi que n'importe qui peut rechercher votre nom complet et d'autres informations avec rien d'autre que votre numéro de téléphone. Étant donné que votre nom apparaît probablement sur de nombreuses listes de contacts, celles-ci peuvent être recoupées pour vérifier votre nom complet. De telles bases de données, comme TrueCaller, sont facilement accessibles à tous.

Chaque fois qu'une application demande la permission d'accéder à vos contacts, n'oubliez pas que ce n'est pas une demande anodine. Si possible, veillez à ne jamais l'accorder, car vous risquez non seulement votre vie privée, mais également toutes les personnes figurant sur votre liste de contacts.