Attention, vos babyphones et caméras peuvent vous espionner

Big Brother vous regarde. Cette phrase n’a jamais sonné aussi bien que de nos jours avec nos multiples objets connectés capables de nous filmer, nous enregistrer, nous écouter et tout savoir de moindres faits et gestes. Mais généralement avec notre consentement tant nous les avons laissé rentrer chez nous, leur avons confié les clés de notre intimité.

Une caméra pour surveiller le portail, une enceinte connectée dans le salon pour piloter le reste de la maison, un système de caméra pour sécuriser l’intérieur de notre maison ou répondre à l’interphone à distance, une autre caméra qui sert aussi de babyphone pour s’assurer que bébé dort bien. Les possibilités sont désormais multiples grâce aux dernières technologies et aux multiples innovations qui remplissent chaque objet. Mais voilà autant d’opportunités nouvelles pour des individus malintentionnés de s’immiscer eux aussi dans votre vie et de la pirater.

Des chercheurs de Kaspersky Lab, spécialiste en cybersécurité, ont découvert récemment des failles de sécurité dans de nombreux modèles de caméras connectées, utilisées aussi bien pour la surveillance de domiciles que de bureaux. Et parmi elles, des babyphones de marque courante. Selon les spécialistes, ces vulnérabilités pourraient permettre à des pirates de prendre le contrôle des flux vidéo et audio de ces appareils, "de désactiver celles-ci, d’y insérer du code malveillant à volonté et de se livrer à de multiples autres manipulations."

On savait que plusieurs caméras avaient été pointées du doigt par le passé pour leur manque de sécurisation. Connectées à votre wifi et dépourvues de système de protection, elles permettaient à n’importe quel hacker de s’en prendre à votre installation globale. Mais cette fois-ci, la faille est d’un niveau supérieur. Kaspersky Lab explique que les caméras sont vulnérables à de nombreux types d’attaque à distance en raison d’un système qui était pourtant présenté comme un "plus" : le système "backbone cloud" conçu pour permettre aux utilisateurs d’accéder à tout moment et à distance à leurs images vidéo qui sont stockées sur un serveur. Mais très souvent, ce système n’est pas sécurisé, note Kaspersky. C’est l’interaction entre la caméra et le cloud qui est pointée du doigt car facilement piratable.

"En exploitant ces failles, des individus malveillants pourraient (…) accéder aux flux vidéo et audio de toute caméra connectée au service cloud vulnérable, obtenir à distance l’accès ‘root’ d’une caméra et s’en servir comme point d’entrée pour mener des attaques contre d’autres appareils sur le réseau local et à l’extérieur", explique l’entreprise, notant que les pirates pourraient tout aussi bien activer ou désactiver les caméras à distance, exécuter du code malveillant sur des caméras ou encore "dérober des données personnelles" (identifiants de comptes des utilisateurs sur des réseaux sociaux ou des informations utilisées pour leur envoyer des notifications). 

Les caméras concernées ont été fabriquées par Hanwha Techwin (ex-Samsung Techwin Europe) qui a été prévenu des failles et a commencé à corriger les failles en question. Kaspersky Lab a identifié près de 2 000 caméras vulnérables en ligne car leur adresse IP était facile à trouver. Mais il pourrait y en avoir bien plus. "Le nombre total d’appareils vulnérables placés derrière des routeurs et des firewalls pourrait bien être nettement supérieur", ajoute l’entreprise. "Le problème de la sécurité des objets connectés actuels tient à l’idée fausse, dans l’esprit des utilisateurs comme des fabricants, qu’il suffit de placer l’appareil à l’intérieur d’un réseau privé et de le séparer de l’Internet public à l’aide d’un routeur pour éviter la plupart des problèmes de sécurité, voire d’en atténuer nettement la gravité", explique Vladimir Dashchenko, chef du groupe de recherche des vulnérabilités au sein de Kaspersky Lab ICS CERT. "Toutefois, c’est loin d’être toujours le cas : en effet, les caméras que nous avons étudiées ne peuvent communiquer avec le monde extérieur que via un service cloud totalement vulnérable."

Et Kaspersky Lab note que les failles repérées ne servent pas seulement au piratage malveillant, mais aussi au minage de cryptomonnaie. Ce qui devient "l’une des principales menaces de sécurité pour les entreprises" et une "tendance émergente" avec l’essor de l’internet des objets. "Et ça ne va pas cesser de se développer", conclut-il.

- Se renseigner sur d’éventuels problèmes de sécurité avant d’acheter un modèle.

- Modifier systématiquement le mot de passe par défaut

- Le renouveler régulièrement