L’application DeepSeek transmet les données sensibles des utilisateurs et des appareils sans chiffrement
Un nouvel audit de l’application mobile de DeepSeek pour le système d’exploitation Apple iOS a révélé des problèmes de sécurité flagrants, le principal étant qu’elle envoie des données sensibles sur Internet sans aucun cryptage, les exposant ainsi à des attaques d’interception et de manipulation.
L’évaluation provient de NowSecure, qui a également constaté que l’application ne respecte pas les meilleures pratiques de sécurité et qu’elle collecte de nombreuses données sur les utilisateurs et les appareils.
« L’application DeepSeek pour iOS envoie des données d’enregistrement d’applications mobiles et des données d’appareils sur Internet sans cryptage », a déclaré la société . « Cela expose toutes les données du trafic Internet à des attaques passives et actives. »
Le démontage a également révélé plusieurs faiblesses d’implémentation lors de l’application du chiffrement sur les données utilisateur. Cela inclut l’utilisation d’un algorithme de chiffrement symétrique non sécurisé ( 3DES ), une clé de chiffrement codée en dur et la réutilisation de vecteurs d’initialisation .
De plus, les données sont envoyées à des serveurs gérés par une plateforme de calcul et de stockage en cloud appelée Volcano Engine , qui appartient à ByteDance, la société chinoise qui exploite également TikTok.
« L’application iOS DeepSeek désactive globalement App Transport Security (ATS), une protection au niveau de la plateforme iOS qui empêche l’envoi de données sensibles sur des canaux non chiffrés », a déclaré NowSecure. « Étant donné que cette protection est désactivée, l’application peut (et envoie) des données non chiffrées sur Internet. »
Ces résultats s’ajoutent à une liste croissante de préoccupations qui ont été soulevées autour du service de chatbot d’intelligence artificielle (IA), alors même qu’il a grimpé en flèche au sommet des classements des magasins d’applications sur Android et iOS sur plusieurs marchés à travers le monde.
/>
La société de cybersécurité Check Point a déclaré avoir observé des cas d’acteurs malveillants exploitant les moteurs d’IA de DeepSeek, ainsi qu’Alibaba Qwen et OpenAI ChatGPT, pour développer des voleurs d’informations, générer du contenu non censuré ou non restreint et optimiser des scripts pour la distribution de spam de masse.
« Alors que les acteurs de la menace utilisent des techniques avancées comme le jailbreaking pour contourner les mesures de protection et développer des voleurs d’informations, des vols financiers et la distribution de spam, l’urgence pour les organisations de mettre en œuvre des défenses proactives contre ces menaces en constante évolution garantit des défenses solides contre une éventuelle utilisation abusive des technologies d’IA », a déclaré la société .
Plus tôt cette semaine, l’Associated Press a révélé que le site Web de DeepSeek est configuré pour envoyer les informations de connexion des utilisateurs à China Mobile, une société de télécommunications appartenant à l’État qui a été interdite d’opérer aux États-Unis.
Les liens chinois de l’application, tout comme TikTok , ont incité les législateurs américains à faire pression pour une interdiction nationale de DeepSeek sur les appareils gouvernementaux en raison des risques qu’elle puisse fournir des informations sur les utilisateurs à Pékin.
Il convient de noter que plusieurs pays, dont l’Australie , l’Italie , les Pays-Bas , Taïwan et la Corée du Sud , ainsi que des agences gouvernementales en Inde et aux États-Unis, telles que le Congrès, la NASA, la Marine, le Pentagone et le Texas, ont instauré des interdictions sur DeepSeek à partir des appareils gouvernementaux.
L’explosion de la popularité de DeepSeek l’a également conduit à lutter contre des attaques malveillantes, la société chinoise de cybersécurité XLab déclarant au Global Times que le service avait été soumis à des attaques par déni de service distribué (DDoS) soutenues provenant des botnets Mirai hailBot et RapperBot à la fin du mois dernier.
Pendant ce temps, les cybercriminels ne perdent pas de temps pour capitaliser sur la frénésie entourant DeepSeek pour créer des pages similaires qui propagent des logiciels malveillants, de fausses escroqueries en matière d’investissement et des systèmes frauduleux de cryptomonnaie.