Un numéro de téléphone réattribué pourrait-il donner accès à d’anciennes conversations Garmin Messenger ? C’est la question soulevée par le fonctionnement actuel de l’application. D’après PhonAndroid, un utilisateur a installé Garmin Messenger sur un second téléphone, saisi son numéro habituel puis validé le code reçu par SMS. L’application aurait alors fait réapparaître ses discussions précédentes, sans demander de mot de passe supplémentaire.
Une connexion fondée sur le numéro de téléphone
Garmin Messenger relie les smartphones aux balises inReach de Garmin. Ces appareils permettent d’échanger des messages par satellite lorsque la couverture mobile fait défaut. L’application sert aussi à recevoir des textes, à partager des positions ou à transmettre des points de rendez-vous et des itinéraires. Selon le média, une session ouverte ne donnerait donc pas seulement accès à quelques messages isolés, mais à plusieurs éléments de l’historique du compte.
Le problème potentiel vient de l’identification utilisée par Garmin Messenger. Pour ouvrir une session, l’application demande un code à usage unique envoyé par SMS au numéro fourni. Aucun mot de passe de compte ne serait nécessaire. Cette méthode permet généralement de retrouver rapidement son compte après un changement de téléphone, mais elle dépend entièrement du contrôle de la ligne téléphonique au moment de la connexion.
« Tout s’est ouvert seul. »
Cette phrase rapportée par l’utilisateur décrit la restauration automatique des anciennes discussions sur le nouvel appareil. Elle ne constitue toutefois pas la preuve qu’un inconnu a effectivement consulté le compte d’un ancien abonné. Le scénario redouté repose sur une situation connue dans le secteur des télécommunications : après la résiliation d’une ligne, un opérateur peut attribuer le même numéro à un nouveau client.
Un risque lié à la réattribution des lignes
Les chiffres cités par PhonAndroid proviennent des États-Unis. La FCC y recenserait environ 35 millions de lignes coupées chaque année. Le média rappelle également qu’une étude menée par des chercheurs de Princeton avait examiné 259 numéros remis en vente : 215 étaient encore associés à des comptes de leurs anciens titulaires. Ces données ne démontrent pas une faille propre à Garmin Messenger, mais elles illustrent le risque posé par les services qui utilisent un numéro comme identifiant principal.
| Élément | Fonctionnement rapporté |
|---|---|
| Identification | Numéro de téléphone |
| Validation | Code reçu par SMS |
| Après connexion | Anciennes conversations restaurées |
| Accès concerné | Messages et données partagées dans l’application |
Le fonctionnement décrit concerne l’application Garmin Messenger sur smartphone et peut donc toucher les utilisateurs qui l’emploient avec une balise inReach, quel que soit le modèle de téléphone compatible. La source ne précise pas de restriction particulière entre Android et l’iPhone. Elle indique en revanche que l’application peut envoyer et recevoir des messages après la validation du numéro sur un nouvel appareil.
Un scénario encore non confirmé
À ce stade, aucun cas dans lequel un nouvel abonné aurait exploité la réattribution d’un numéro pour consulter les conversations d’un tiers n’a été démontré. Le code transmis par SMS reste indispensable pour ouvrir la session. L’alerte porte donc sur la conception du mécanisme d’authentification et sur la possibilité que l’historique soit restauré sans autre vérification, plutôt que sur une attaque documentée.
Le support de Garmin a été sollicité au sujet de ce comportement, mais la réponse rapportée par PhonAndroid est incomplète dans les éléments disponibles. Aucune information ne permet donc d’affirmer qu’une modification de Garmin Messenger ou une protection supplémentaire est déjà déployée. Les utilisateurs concernés doivent surtout retenir que la possession temporaire d’un numéro ne garantit pas, à elle seule, l’identité de la personne qui l’utilise aujourd’hui.
