L’usage principal du certificat d’entreprise d’Apple a encore été détourné. L’éditeur Connexxa a distribué une application pour iPhone sans passer par l’App Store qui n’était autre qu’un logiciel espion.

La société de sécurité Lookout rapporte que l’application en question s’installait sans passer par l’App Store, par le biais d’un certificat d’entreprise. Cette pratique est normalement réservée aux entreprises pour installer des applications internes sur les iPhone des employés. L’application en question avait une interface rappelant celle d’un opérateur ; elle se téléchargeait d’ailleurs sur un site se faisant passer pour un opérateur.

Une fois installée, l’application pouvait connaître la localisation de l’utilisateur, récupérer les contacts, photos, écouter les appels téléphoniques, mettre la main sur les enregistrements vocaux et plus encore. Lookout explique ne pas réellement savoir quelles étaient les personnes visées avec cette application.

L’éditeur Connexxa n’est pas à son premier coup d’essai puisqu’une application similaire (qui a pour nom Exodus) existe sur Android. Pire : elle peut être téléchargée directement sur le Play Store (l’équivalent de l’App Store) et permet d’avoir tous les droits sur le téléphone.

Concernant la version sur iOS, Apple a été averti et s’est chargé de révoquer le certificat d’entreprise utilisé pour bloquer l’ouverture de l’application chez ceux qui l’ont déjà installée.