EngageLab SDK : 50 millions d'utilisateurs Android exposés

Microsoft a dévoilé les détails d'une vulnérabilité critique affectant le SDK EngageLab, un kit de développement tiers intégré dans un très grand nombre d'applications Android. Cette EngageLab SDK faille Android, identifiée dans la version 4.5.4 du composant, relève de la catégorie des redirections d'intent : elle permet à un attaquant de détourner le contexte de confiance d'une application vulnérable pour exécuter des actions en son nom. Le risque est d'autant plus préoccupant que ce SDK équipe des applications totalisant plus de 50 millions d'installations, ce qui élargit considérablement la surface d'attaque. Un acteur malveillant pourrait ainsi accéder à des données protégées, déclencher des composants internes normalement inaccessibles ou intercepter des communications sensibles. Les éditeurs concernés doivent identifier sans délai les versions embarquées dans leurs applications et déployer le correctif publié par EngageLab.

Ce qui s'est passé

Les chercheurs en sécurité de Microsoft ont identifié une vulnérabilité de type « intent redirection » dans le SDK EngageLab, un composant tiers utilisé par des centaines d'applications Android pour gérer les notifications push et l'engagement utilisateur. La faille, présente dans la version 4.5.4, exploite un mécanisme fondamental d'Android : les intents, ces messages inter-applications qui permettent de partager des données et de déclencher des actions.

Concrètement, un attaquant pouvait installer une application malveillante sur l'appareil de la victime et exploiter le contexte de confiance (les permissions) d'une application vulnérable intégrant le SDK. Cette technique permettait d'accéder aux répertoires internes de l'application ciblée, contournant ainsi les mécanismes de sandboxing d'Android. Pour les portefeuilles de cryptomonnaies, cela signifiait un accès potentiel aux clés privées, aux seed phrases et aux identifiants de connexion.

L'ampleur du problème est considérable : plus de 50 millions d'installations sont affectées, et les applications de wallets crypto représentent à elles seules 30 millions de ces installations. Selon Microsoft, aucune exploitation active n'a été détectée à ce jour, mais la fenêtre de vulnérabilité reste ouverte pour les applications n'ayant pas encore migré vers la version corrigée du SDK.

Pourquoi c'est important

Cette découverte illustre un risque structurel majeur de l'écosystème mobile : la dépendance aux SDK tiers. Lorsqu'un composant partagé par des centaines d'applications présente une faille, l'impact se démultiplie à l'échelle de millions d'utilisateurs. C'est le même mécanisme que l'on observe dans les attaques supply chain sur npm ou les compromissions de plugins WordPress.

Pour les détenteurs de cryptomonnaies, le risque est direct et financier : une exploitation réussie aurait pu permettre le vol de fonds sans aucune interaction de l'utilisateur au-delà de l'installation d'une application malveillante. La lenteur de propagation des correctifs dans l'écosystème Android, où chaque développeur doit individuellement mettre à jour ses dépendances, aggrave la situation.

Ce qu'il faut retenir

Un précédent inquiétant dans l'écosystème des SDK Android

Cette découverte s'inscrit dans une tendance de fond que les chercheurs en sécurité mobile documentent depuis plusieurs années : la multiplication des vulnérabilités dans les kits de développement tiers intégrés massivement par les éditeurs d'applications. Contrairement à une faille applicative isolée, une vulnérabilité dans un SDK partagé comme EngageLab produit un effet de contamination en cascade, touchant instantanément toutes les applications qui l'embarquent, souvent sans que leurs équipes de développement en aient conscience. Ce schéma rappelle la faille StrandHogg découverte en 2019, qui exploitait également le système de tâches et d'intents d'Android pour usurper l'identité d'applications légitimes, ou plus récemment les vulnérabilités affectant des SDK publicitaires et analytiques présents dans des dizaines de milliers d'applications simultanément.

Le ciblage disproportionné des portefeuilles de cryptomonnaies — 30 millions d'installations sur les 50 millions concernées, soit 60 % du parc affecté — confirme que les wallets mobiles constituent une cible de choix pour les attaquants financièrement motivés. Les clés privées stockées localement, une fois exfiltrées, permettent un vol de fonds instantané et irréversible, sans possibilité de réversion contrairement à une fraude bancaire classique. Cette caractéristique explique l'attention particulière portée par Microsoft à la divulgation de cette faille, malgré son origine dans un composant tiers plutôt que dans un système d'exploitation ou une application propriétaire.

Un problème de gouvernance de la chaîne d'approvisionnement logicielle

Au-delà de l'aspect technique, cet incident met en lumière une faiblesse structurelle de l'écosystème Android : l'absence fréquente de mécanismes automatisés de mise à jour pour les SDK tiers. Contrairement aux bibliothèques gérées via des gestionnaires de dépendances avec alertes de sécurité intégrées (comme npm audit ou Dependabot dans l'écosystème web), de nombreuses applications Android intègrent des SDK propriétaires dont la mise à jour dépend entièrement de la réactivité de l'éditeur. Le délai constaté entre la publication du correctif en novembre 2025 et la divulgation publique de la faille par Microsoft suggère qu'une part significative des applications concernées n'avait toujours pas déployé la version corrigée plusieurs mois après sa disponibilité, une situation qui illustre les limites du modèle de responsabilité partagée entre éditeurs de SDK et développeurs d'applications tierces.