J’ai laissé les aperçus de mes SMS s’afficher sur l’écran verrouillé juste pour les lire d’un coup d’œil : le soir où mon téléphone a disparu, six chiffres ont suffi

Six chiffres. C’est tout ce qu’il a fallu au type qui m’a piqué mon téléphone à la sortie du bar pour valider un virement depuis mon appli bancaire, avant même que j’aie eu le temps de courir à la boutique pour faire bloquer la ligne. Le code de vérification s’est affiché en toutes lettres sur l’écran verrouillé, comme il le faisait depuis des mois à chaque SMS reçu. Pratique pour moi qui checkais mes messages sans déverrouiller. Catastrophique le soir où quelqu’un d’autre a eu mon téléphone entre les mains.

Ce réglage qui semble anodin, cet aperçu de SMS qui s’affiche sur l’écran de verrouillage, c’est exactement le genre de détail qu’on configure une fois par confort et qu’on oublie ensuite pendant des années. Mais ce petit confort a un prix, et ce prix, je l’ai payé cash.

Pourquoi l’aperçu SMS est une porte grande ouverte

Le principe de l’authentification par SMS repose sur une idée simple : seul le propriétaire du téléphone peut lire le code envoyé par la banque ou le service en ligne. Les SMS sont envoyés en texte clair et sont visibles sur l’écran de l’utilisateur, ou en aperçu sur l’écran de veille lorsque le téléphone est verrouillé. dès que l’aperçu est activé, cette protection s’effondre pour n’importe qui ayant un accès physique, même bref, à l’appareil.

Le scénario que j’ai vécu n’a rien d’isolé. Un téléphone arraché des mains à la sortie du métro, et en dix secondes, le voleur a la messagerie, les photos, l’application bancaire et le code SMS qui déverrouille le reste. Ce n’est pas de la parano de journaliste tech qui a eu une mauvaise soirée : c’est une mécanique bien identifiée, décrite noir sur blanc par les spécialistes en cybersécurité. Un problème encore plus vicieux existe d’ailleurs côté logiciel : certaines applications malveillantes se font passer pour le gestionnaire de messages par défaut et interceptent directement les codes avant même qu’ils apparaissent où que ce soit, le code de validation arrive, elle le lit avant vous, le transmet aux fraudeurs, et l’authentification à deux facteurs est contournée sans que rien ne semble anormal sur votre écran. Ce risque logiciel s’ajoute à la faille physique de l’écran verrouillé, ce qui fait du SMS un maillon particulièrement fragile de la chaîne de sécurité.

Le réflexe que presque personne n’a

Ce qui m’a le plus agacé après coup, c’est que la solution existait depuis toujours, planquée dans un menu que je n’avais jamais ouvert. Les fabricants le savent bien, d’ailleurs, puisque les guides de sécurité recommandent explicitement de couper cet affichage. Désactiver les notifications provenant des applications sensibles, en particulier celles qui s’affichent sur l’écran de verrouillage, sera moins pratique pour lire les messages, mais diminue les risques que les codes d’authentification unique ou un transfert d’argent soient interceptés. Le compromis est clair : un peu moins de confort contre beaucoup moins de risque.

Concrètement, sur Android, il suffit d’aller dans les réglages de notifications et de choisir l’option qui masque le contenu sensible tout en gardant l’alerte visible. Ouvrir Paramètres, Notifications, Notifications de message, puis Écran de verrouillage, et sélectionner « Ne pas afficher le contenu » permet de garder les messages privés avec seuls les badges qui apparaissent. Sur iPhone, le chemin est similaire : il faut aller fouiller du côté des réglages d’aperçu des messages. Dans Réglages > Notifications > Afficher les aperçus, si c’est réglé sur « Si déverrouillé », seul le nom de l’appli apparaît sans le texte du message, alors que sur « Toujours » tout s’affiche. Deux minutes montre en main, et cette faille béante se referme.

Aller plus loin que le simple SMS

Couper l’aperçu, c’est bien, mais ça ne suffit pas si le téléphone lui-même reste une passoire une fois entre de mauvaises mains. Android a discrètement enrichi ses outils antivol ces derniers mois, et la plupart des utilisateurs n’y ont jamais touché. Android embarque trois protections antivol que presque personne n’active, dont le menu Protection contre le vol qui regroupe quatre verrouillages automatiques, dont la détection d’arrachage et le verrouillage à distance via android.com/lock. Le fonctionnement de la détection d’arrachage a quand même une limite qu’il faut connaître : elle ne sert que si le téléphone est arraché pendant que vous l’utilisez, écran déverrouillé, et si l’appareil est volé dans une poche ou un sac, ce sont le verrouillage hors connexion et le verrouillage à distance qui prennent le relais.

Autant dire que ces réglages se complètent, ils ne se remplacent pas. Masquer l’aperçu des SMS bloque la lecture des codes en cas de vol discret. Les protections antivol Android bloquent l’accès complet à l’appareil en cas d’arrachage ou de vol prolongé. Et pour ceux qui veulent verrouiller certaines applications individuellement, notamment les apps bancaires, il existe des couches de protection supplémentaires directement dans les paramètres de sécurité du téléphone, créer un mot de passe supplémentaire, un code PIN ou un motif pour les applications essentielles reste une option accessible sur la plupart des modèles récents.

Ce que personne ne dit assez fort, c’est que l’authentification par SMS elle-même montre ses limites depuis des années, ce qui pousse de plus en plus de banques et de services en ligne à basculer vers des applications d’authentification dédiées ou des clés physiques, bien moins vulnérables que le texto qui s’affiche fièrement sur un écran verrouillé. En attendant que cette transition se généralise, désactiver l’aperçu des SMS reste le geste le plus simple, le plus rapide et probablement celui qui aurait pu m’épargner une soirée à annuler des cartes bancaires en panique devant un vigile de bar peu concerné par mon drame.

Source : sciencepost.fr