Vendre votre smartphone ? Une simple réinitialisation ne protège pas vos données
La réinitialisation d'usine (factory reset) intégrée à Android peut laisser vos données accessibles même après remise à zéro. Voici pourquoi elle n'efface pas tout, et comment vraiment protéger vos données avant de vendre votre téléphone.
Les raisons de faire un reset sont nombreuses : corriger des bugs post-mise à jour, maintenance, ou supposément effacer toutes les données. Mais une étude de la société de sécurité Avast a révélé que sur 20 smartphones d'occasion achetés sur eBay, des logiciels de récupération accessibles à tous ont permis de retrouver : 40 000 photos, 1 000 recherches Google, des centaines d'emails, et même une demande de prêt. De quoi frémir.
Pourquoi la réinitialisation d'usine ne fonctionne-t-elle pas ?
Des chercheurs de l'Université de Cambridge ont mené la première étude majeure sur cette fonctionnalité de sécurité présumée. Ils ont testé divers appareils Android d'occasion sous différentes versions et ont réussi à récupérer des jetons d'authentification (tokens) — utilisés pour vous connecter automatiquement après la première saisie du mot de passe — auprès de Google, Facebook, WhatsApp, etc. Dans 80 % des cas, ils ont récupéré le jeton principal (master token).
Ce jeton maître est l'équivalent de la clé de votre porte d'entrée cachée sous le paillasson. Une fois récupéré, il permet de restaurer votre fichier d'identifiants et de resynchroniser toutes vos données : emails, photos cloud, contacts, calendriers.
Pourquoi les données privées restent-elles récupérables ?
Plusieurs causes : les fabricants ne fournissent pas les logiciels nécessaires pour effacer complètement la mémoire flash. Celle-ci est notoirement difficile à effacer. Google est aussi responsable de ne pas offrir d'option plus sûre.
Même le chiffrement intégré ne protège pas : la clé de déchiffrement reste intacte après un reset. Bien que chiffrée elle-même, un pirate peut y accéder en quelques jours de travail selon les chercheurs.
Comment réinitialiser correctement en effaçant toutes vos données
1. Chiffrez votre téléphone avant le reset. L'option se trouve généralement dans Paramètres → Sécurité → Chiffrer le téléphone. Depuis Android 6.0, le chiffrement est souvent activé par défaut.
Utilisez un mot de passe fort, aléatoire, d'au moins 11 caractères (majuscules, minuscules, chiffres, symboles). L'inconvénient : c'est fastidieux à taper au quotidien, donc peu d'utilisateurs le font.
2. Après le reset, remplissez le stockage flash avec des données inutiles pour écraser les tokens et clés cryptographiques restants. Méthode rudimentaire : copiez quelques gros fichiers vidéo. Ou utilisez une application dédiée comme Secure Erase avec iShredder 6 (disponible sur le Play Store).
Note : pour une sécurité maximale, installez l'application d'effacement en dehors du Play Store pour éviter qu'un nouveau token Google ne soit enregistré.
Cette solution pose problème en cas de perte/vol ou d'effacement à distance via « Trouver mon appareil ». En attendant une vraie solution des fabricants, soyez prudent quant à l'acheteur de votre téléphone d'occasion.
Avez-vous déjà vendu un téléphone ? Pensiez-vous qu'un reset protégeait vos données ? Partagez votre avis en commentaires.