EngageLab SDK : 50 millions d'utilisateurs Android exposés

Microsoft a révélé les détails d'une vulnérabilité critique dans le SDK EngageLab, un kit de développement tiers largement intégré dans les applications Android. Cette faille, identifiée dans la version 4.5.4 du SDK, est classée comme une redirection d'intent permettant à un attaquant de détourner le contexte de confiance d'une application vulnérable. Le problème est particulièrement préoccupant car plus de 50 millions d'installations Android sont concernées, dont 30 millions de portefeuilles de cryptomonnaies. La vulnérabilité permettait d'accéder aux répertoires internes des applications intégrant le SDK, exposant ainsi des données sensibles comme les clés privées et les identifiants de connexion des utilisateurs de wallets crypto. EngageLab a corrigé le problème dans la version 5.2.1, publiée en novembre 2025, mais de nombreuses applications n'ont pas encore déployé la mise à jour.

Ce qui s'est passé

Les chercheurs en sécurité de Microsoft ont identifié une vulnérabilité de type « intent redirection » dans le SDK EngageLab, un composant tiers utilisé par des centaines d'applications Android pour gérer les notifications push et l'engagement utilisateur. La faille, présente dans la version 4.5.4, exploite un mécanisme fondamental d'Android : les intents, ces messages inter-applications qui permettent de partager des données et de déclencher des actions.

Concrètement, un attaquant pouvait installer une application malveillante sur l'appareil de la victime et exploiter le contexte de confiance (les permissions) d'une application vulnérable intégrant le SDK. Cette technique permettait d'accéder aux répertoires internes de l'application ciblée, contournant ainsi les mécanismes de sandboxing d'Android. Pour les portefeuilles de cryptomonnaies, cela signifiait un accès potentiel aux clés privées, aux seed phrases et aux identifiants de connexion.

L'ampleur du problème est considérable : plus de 50 millions d'installations sont affectées, et les applications de wallets crypto représentent à elles seules 30 millions de ces installations. Selon Microsoft, aucune exploitation active n'a été détectée à ce jour, mais la fenêtre de vulnérabilité reste ouverte pour les applications n'ayant pas encore migré vers la version corrigée du SDK.

Pourquoi c'est important

Cette découverte illustre un risque structurel majeur de l'écosystème mobile : la dépendance aux SDK tiers. Lorsqu'un composant partagé par des centaines d'applications présente une faille, l'impact se démultiplie à l'échelle de millions d'utilisateurs. C'est le même mécanisme que l'on observe dans les attaques supply chain sur npm ou les compromissions de plugins WordPress.

Pour les détenteurs de cryptomonnaies, le risque est direct et financier : une exploitation réussie aurait pu permettre le vol de fonds sans aucune interaction de l'utilisateur au-delà de l'installation d'une application malveillante. La lenteur de propagation des correctifs dans l'écosystème Android, où chaque développeur doit individuellement mettre à jour ses dépendances, aggrave la situation.

Ce qu'il faut retenir