Le logiciel de sécurité insérait dans le code de chaque page web visitée un identifiant unique lié au terminal utilisé, qu’il était assez simple de récupérer. Un patch a été diffusé pour éliminer ce risque de surveillance.
Les failles dans les logiciels antivirus ne sont pas une rareté, mais celle trouvée par le magazine allemand c’t est quand même assez insolite. Elle permettait à n’importe quel site web d’identifier de manière unique un utilisateur de l’antivirus Kaspersky. En effet, l’un des modules du logiciel intercepte le flux web et insère dans chaque page un code JavaScript baptisé « main.js » dont le but est – entre autres – d’évaluer la sécurité du site en question. Un procédé assez habituel pour ce genre de logiciels de sécurité.
Le problème, c’est que dans le code inséré par Kaspersky figurait une chaîne de caractères qui identifiait de manière unique un poste utilisateur et qu’il était très simple de récupérer pour l’éditeur du site. Il suffisait que celui-ci insère à son tour un code JavaScript qui scanne le code source à la recherche du script en question. Voici un exemple du code inséré par Kaspersky :
<script type=”text/javascript” src=”https://gc.kis.v2.scr.kaspersky-labs.com/9344FDA7-AFDF-4BA0-A915-4D7EEB9A6615/main.js” charset=”UTF-8″></script>
Ce tracking était particulièrement puissant. Impossible pour l’utilisateur de s’en débarrasser de manière simple. Même changer de navigateur ou activer le mode Incognito ne servait à rien. Alerté par le magazine, l’éditeur russe a reconnu l’existence de cette faille et, depuis, diffusé un correctif qui élimine les identifiants uniques. Selon c’t, cette vulnérabilité existait depuis au moins fin 2015, dans toutes les versions grand public et TPE de l’antivirus. Elle a donc affecté des millions d’utilisateurs.
Pour autant, Kaspersky a minimisé l’impact. Selon l’éditeur, une telle attaque serait « trop complexe et pas assez rentable » pour les cybercriminels. Un point de vue plutôt étonnant de la part d’un spécialiste de la sécurité. Depuis des années, en effet, on sait que les entreprises de publicité en ligne sont sans cesse à la recherche d’un moyen permettant d’identifier et de caractériser les internautes. Certaines s’appuient même sur des ultrasons pour renforcer leur profilage. Il ne serait pas étonnant que l’une d’entre elles ait intégré l’analyse de l’identifiant de Kaspersky dans l’un de ses mouchards.