Étiquette : IoT

Les nouvelles lignes de faille du numérique (1/4)
Des lunettes IA de Meta jusqu’aux recherches sur le Wi-Fi capable d’inférer des gestes et des présences, en passant par des babyphones exposés sur Internet… la surveillance est partout. La surveillance contemporaine ne ressemble plus aux clichés des affabulateurs et autre imaginatifs. Elle se glisse dans les objets désirables et désirés, dans les équipements domestiques (IoT) et ailleurs. Ce premier volet raconte la transformation silencieuse d’une captation devenue ordinaire, parfois invisible, toujours plus difficile à refuser.
Depuis longtemps, la surveillance se caractérise par une caméra, un écran de contrôle, un État ou une entreprise, et un lieu bien défini. Cette représentation est souvent visible dans le septième art. Cependant, cette image commence à s’estomper. Les lunettes connectées se fondent désormais dans notre apparence quotidienne. Si l’utilisation correspond « à une activité strictement personnelle comparable à l’utilisation d’un smartphone », le RGPD ne s’applique pas. En effet, « le texte prévoit en lui-même une exception à ces usages domestiques », selon la CNIL, à condition de ne pas les publier en ligne, prévient Numérama. Certains babyphones (IoT) se révèlent accessibles. Des travaux récents sur le Wi-Fi sensing montrent qu’il devient possible de détecter une présence, un mouvement sans qu’une image soit visible. Il ne s’agit plus seulement de déterminer qui observe, mais plutôt d’identifier les éléments de scénographie, les lieux et les compagnons de visionnement.
La surveillance s’installe dans la vie quotidienne.
Ce changement ne s’explique pas simplement par l’évolution d’outils analogiques vers des capteurs plus performants. Il y a quelque chose de plus profond. Nous sommes maintenant entrés dans une ère où la surveillance, qui était auparavant clairement identifiable, s’est fondue dans notre quotidien, insidieusement et presque volontairement. Sans que nous en ayons conscience, elle se veut pratique, amusante ou rassurante. Il est donc important d’examiner de près cette transformation, ce renversement de perspective, plutôt que de s’émerveiller devant le spectacle du contrôle. Il s’agit de sa banalisation et de l’insouciance ambiante. Tout part d’un constat simple. Les lunettes intelligentes, qui étaient auparavant réservées aux geeks, s’éloignent désormais du secteur de la curiosité pour pénétrer dans la sphère du grand public.
Selon l’Electronic Frontier Foundation, nous avons atteint un tournant. Ce mouvement pourrait s’accélérer avec l’arrivée d’autres géants de la technologie, ce qui signifie qu’un dispositif de suivi sur le visage n’est plus une invention étrange, mais un gadget presque ordinaire. Sauf pour les personnes réservées rencontrées par l’individu portant ces lunettes.
Le véritable sujet n’est pas l’objet lui-même. C’est plutôt la chaîne qu’il ouvre. Par conséquent, l’article martèle que sur les lunettes s’appuient sur l’application mobile Meta AI. Compagnon requis pour la configuration, l’import et le partage des médias. Les contenus captés doivent y être importés pour être consultés ou diffusés, et certaines fonctions peuvent en outre activer un transfert vers le cloud Meta selon les réglages. Les fonctionnalités d’intelligence artificielle de Meta AI, telles que l’analyse de ce que l’utilisateur voit, nécessitent l’envoi d’une image au cloud de Meta pour traitement. En d’autres termes, enregistrer une vidéo revient à capturer, transférer, traiter et stocker des images, parfois même à les faire annoter. La promesse d’un usage fluide repose ainsi sur une circulation de données que l’utilisateur maîtrise mal et que les tiers filmés ignorent (presque) toujours.
Des lunettes connectées qui normalisent la captation du réel
Lorsque des contenus sont partagés avec Meta AI ou certains services cloud, la firme peut les utiliser pour améliorer ses systèmes d’IA, et certaines interactions peuvent faire l’objet d’une revue humaine. Ce point est loin d’être anecdotique : il rappelle qu’il y a une différence entre l’intention de l’utilisateur, qui est de documenter un moment ou un souvenir, et la destination réelle des contenus, qui peut être bien plus vaste. Ce n’est plus seulement une affaire de vie privée individuelle, mais une question de gouvernance de captation (crédit : Oziel Gómez/Pexels).
Il est à noter que ces lunettes sont conçues pour ressembler à n’importe quelles lunettes. Car le voyant lumineux censé signaler l’enregistrement peut faire l’objet de contournements ou de neutralisations physiques, explique 404 Media. Cette discrétion change notre conception de l’espace public. Être aperçu dans la rue n’est pas la même chose qu’être enregistré, identifié, archivé, surtout à notre insu. Ainsi, les personnes croisées dans un café, dans un commerce ou lors d’un rassemblement/manifestation peuvent se retrouver posées sur papier glacé sans en avoir conscience. « La captation et l’enregistrement sans le consentement de la personne de paroles prononcées à titre privé ou confidentiel ou de son image dans un lieu privé, peuvent constituer une infraction pénale. » La surveillance ne procède plus seulement par interdiction ou par coercition. Elle avance en rendant l’enregistrement toujours plus simple, plus ludique.
L’intimité fragilisée, par des IoT mal sécurisés
Un chercheur français, Sammy Azdoufal, a mis au jour une faille majeure dans l’écosystème IoT de Meari Technology, un protocole de messagerie léger : un broker MQTT (Message Queuing Telemetry Transport). Celui-ci est sans protection et accessible depuis un navigateur. Il donne l’accès en temps réel aux flux vidéo de baby-phones et de caméras connectées… à travers le monde. Plus d’un million d’appareils sont potentiellement touchés, et il semblerait que trois cent soixante-dix-huit fabricants utilisent le même backend défaillant.
Ce n’est pas tant la défaillance, que le système lui-même qui porte de l’intérêt. Car, l’architecture industrielle de sous-traitance est la même pour tous : la course à la réduction de coût. Cependant, c’est surtout la durée qui est stupéfiante. Les serveurs européens et américains seraient restés vulnérables pendant 1 041 jours, tandis que l’infrastructure chinoise était ouverte depuis 542 jours.
La vulnérabilité n’est pas toujours le résultat d’une attaque sophistiquée. Elle peut aussi découler de la culture et de l’enseignement en matière de cybersécurité. Ce cas particulier met en évidence les conséquences d’une négligence chronique, presque devenue une habitude. Mais également dans l’utilisation des objets connectés, qui sont proposés aux familles comme des instruments de sécurité et de sérénité.
Quand la chambre d’enfant devient une surface d’attaque
Ce n’est pas le babyphone lui-même qui pose problème, mais la sécurité du domicile, où se sont multipliés les objets connectés, comme le téléphone intelligent ou l’ordiphone, qui communiquent constamment avec des bornes, ou les objets « modernes », qui émettent, reçoivent et transmettent des données. Ils peuvent le faire pour échanger des informations entre eux ou avec d’autres personnes, que celles-ci soient mal intentionnées ou non.
Ce qui est alarmant, c’est l’importance qu’ils occupent dans les sphères domestique et publique. Dans ce contexte, le babyphone assure la sécurité du nouveau-né, permettant une surveillance constante, ce qui apaise les parents. C’est précisément ce qui rend ce type de faille si grave. Ici, la vulnérabilité ne touche pas un appareil abstrait, mais l’espace le plus intime du foyer : la chambre d’un enfant. (Crédit : PatrickLFC93/Pixabay)
Avec des informations sur les habitudes de sommeil, parfois les routines et les mœurs d’une famille entière. La technologie, censée apporter de la sécurité, se transforme en une faille. Cet incident rabâche une vérité trop souvent reléguée au second plan. L’IoT a démocratisé l’ultraconnexion plus vite que la sécurité. Il s’achète aisément, se configure rapidement, tout en promettant une expérience fluide. Mais quand le chercheur explique que « c’est la deuxième fois que je m’intéresse au protocole MQTT, et la deuxième fois que l’entreprise derrière ne le sécurise pas. J’ai peur que ça soit un problème de fond. » Tout est remis en cause, à minima la confiance.
Voir sans caméra, détecter sans image via le Wi-Fi sensing
Le troisième chapitre exige une écriture plus soignée, car il peut facilement glisser vers le sensationnalisme ou le conspirationnisme. Il s’agit des travaux récents sur la reconnaissance d’activité humaine à partir des signaux Wi-Fi. Publiés dans Science Direct des articles décrivent comment l’analyse des informations d’état du canal (CSI) permet d’exploiter les variations du signal. Ce, pour détecter la présence, les gestes, activités, chutes, comptage de personnes ou suivi de mouvements, en s’appuyant sur l’infrastructure Wi-Fi existante.
Les chercheurs soulignent leur intérêt pour les environnements domestiques, la détection de présence, la surveillance des chutes ou certaines applications de santé. Vu de loin, le Wi-Fi sensing apparaît comme une technologie plus douce, presque plus respectueuse de la vie privée que la CCTV.
Mais c’est précisément là que commence la difficulté. Car l’absence d’image ne signifie pas l’absence de surveillance. Une technologie capable d’inférer une présence, une démarche, un geste, une activité ou une chute ne vous photographie pas, certes. Pour autant, elle produit des biais de connaissance. Couplée aux outils actuels, elle déduit, reconstitue et transforme un environnement radio banal en capteur comportemental.
Le risque n’est pas l’image, mais l’inférence
La question n’est plus, « y a-t-il une caméra ? », mais « qu’est-ce qu’un réseau peut savoir de mon corps, de mes gestes sans que je le voie ? »
Il faut savoir raison garder. Publié le 26 octobre 2025 dans Signals, l’article « Why Partitioning Matters » souligne que, dans la reconnaissance d’actions humaines par Wi-Fi CSI, des stratégies de partitionnement inadéquates peuvent gonfler artificiellement les performances rapportées. La faute à des protocoles expérimentaux défaillants et de fuites de données. Le fait est là, mais elle n’invalide pas le CSI. Elle remet juste l’église au milieu du village. Le Wi-Fi sensing n’est ni un mirage, ni de la magie. C’est une technologie réelle, prometteuse, en devenir.
Ce n’est pas une simple addition de faits, c’est une mutation du regard numérique. La captation ne s’annonce plus forcément. Elle se porte, s’installe, se diffuse dans les objets d’usage courant et jusque dans les infrastructures ambiantes. Elle devient moins spectaculaire, donc moins contestée. (Crédits : Helena Lopes/Pexels)
Nous entrons ainsi dans un âge où la véritable question n’est plus celle de l’enregistrement visible, mais de l’inférence permanente. Ce que l’on filme, ce qu’on laisse transiter, ce que des signaux peuvent déduire de nous : tout cela compose une nouvelle sphère de la surveillance. Un mouvement feutré, confortable en apparence, mais politiquement redoutable, parce qu’elle avance moins par contrainte que par adoption tranquille. Et c’est peut-être ainsi qu’elle s’enracine le plus sûrement.
avril 2, 2026
Accès suspendu à Pornhub, et après…
Depuis le milieu de l’après-midi du mercredi 4 juin 2025, certains sites WEB proposant du contenu pornographique sont suspendus. YouPorn, RedTube et Pornhub de l’éditeur Aylo ne sont plus « accessibles » en France. L’un engage la liberté, l’autre la protection des mineurs. « S’ils ne veulent pas protéger nos enfants, alors qu’ils s’en aillent. C’est inacceptable, ce coup de pression qu’ils nous mettent », répond Clara Chappaz, ministre déléguée chargée de l’Intelligence artificielle et du numérique.
« À partir du 4 juin, nous suspendons l’accès à notre site Internet en France pour s’adresser à vous, nos usagers adultes français ! », écrit Aylo, éditeur de trois sites pornographiques (YouPorn, RedTube et Pornhub). Suite au blocage des sites pornos accessibles aux mineurs, la ministre se targue en affirmant que : « comme un videur en boîte de nuit, il nous faut aujourd’hui une vérification d’âge. » Peut-on encore protéger efficacement les mineurs sur le web, avec en permanence leur smartphone, quand la technologie évolue plus vite que la loi et que les adolescents en maîtrisent déjà tous les codes ?
La bataille est engagée
Cette interrogation, que partagent de nombreux parents, enseignants comme juristes, révèle la complexité d’un monde numérique en mutation constante. Les jeunes savent déjà contourner les filtres, créer des comptes anonymes, utiliser des VPN, change de serveur DNS et bien d’autres astuces encore. Face à cela, les lois, souvent lentes à être votées puis appliquées, peinent à suivre dans le WEB 2.0.
Les internautes français découvrent désormais une page d’accueil vide, car ils sont inaccessibles depuis le territoire. Enfin, pas tout à fait vide, une illustration évoquant le tableau d’Eugène Delacroix « La Liberté guidant le peuple » est proposée avec un texte. La cause ? Une loi française exigeant des sites pornographiques une vérification d’âge plus stricte, destinée à bloquer l’accès des mineurs.
Sur le papier, l’intention est noble. Éviter que nos enfants, parfois dès 11 ou 12 ans, ne tombent sur des contenus explicites. Les contenus proposés, qui mettent en scène des acteurs et actrices, sont de la fiction, qui peut être souvent violents ou dégradants. La réaction d’Aylo en dit long : elle préfère se retirer que se soumettre à des obligations jugées « dangereuses pour la vie privée » et « techniquement inefficaces ». (Crédits : Pavel Danilyuk/Pexels)
L’Arcom affiche des statistiques sur un rapport de mai 2023 : dès 12 ans, plus de la moitié des garçons se rendent sur des sites adultes en moyenne chaque mois (12-13 ans, 51 % de garçons, 31 % de filles). « Je refuse que nos enfants grandissent avec la pornographie », assure la ministre. L’étude porte sur 14 111 sites recensés par Médiamétrie, dont 179 sites disposent d’une audience significative, soit plus de 50 panélistes. En précisant que les plateformes de partage de vidéos ou les réseaux sociaux ne sont pas prises en compte.
Pornographie cs Réalité
La fiction cinématographique suit l’évolution de la société. Par des expériences neurobiologiques, en faisant visionner des images pornographiques à des mineurs avec des capteurs sur le cerveau, vous observerez des réactions neurobiologiques apparentes sont les mêmes que dans un trauma, explique Marie Estelle Dupont, psychologue clinicienne.
Quand tout un chacun visionne vidéos et images, les neurones miroirs entrent en jeu. L’apprentissage par répétition produit des traces mnésiques. Nommée aussi « engramme », elle est une modification durable du cerveau résultant de l’encodage d’une nouvelle information. L’apprentissage s’effectue par l’encodage, la consolidation, le stockage et le rappel. Lorsqu’une expérience, un fait ou une compétence est appris, le cerveau ne se contente pas de stocker cette information de manière statique.
Ce concept fondamental amène à comprendre comment notre cerveau encode, conserve et rappelle les informations. Chaque souvenir, chaque compétence apprise laisse une empreinte durable dans notre cerveau, façonnant notre capacité à naviguer dans le monde.
« Quand vous aimez le tennis et que vous regardez Roger Federer jouer au tennis, vos neurones miroirs vont faire progresser les schémas moteur. Mais quand vous regardez une scène de crime, une scène de viol, une scène de torture, vous avez des traces mnésiques », explique Marie Estelle Dupont.
Pour prendre du recul, l’expérience est vitale. Le mineur n’a pas la maturité pour cela. Ce qui explique « quand on fait des enquêtes, il y a 46 % des jeunes qui nous disent qu’ils ont des pratiques violentes. 97 % du temps, c’est des garçons vers les filles, évidemment, puisque dans le porno, on retourne à quelque chose de très archaïque, où, en fait, ce n’est pas la dimension du plaisir qui compte, c’est la dimension de la domination et de la destructivité », martèle Marie-Estelle Dupont. (Crédits : Liza Summer/Pexels)
Sur les réseaux, de nombreuses vidéos évoquent un chiffre, prônant la quantité à la qualité : le « bodycount ». Ce dernier prône la qualité des personnes. Comme par hasard, une fille qui aurait, selon les suppositions perdrait de sa « valeur » selon certains « influenceurs ». Les mêmes garçons qui ont été biberonnés à la pornographie débridée, où, quand ils émettent une onde cérébrale, pensent que les fictions pornographiques sont la réalité. « Maintenant, il y a une notion de réputation sexuelle où, si les filles ne se soumettent pas à très jeune à certaines pratiques, elles ont peur d’être harcelées et qu’il y ait un espèce d’effet de délation de celles qui ne veulent pas. »
Temps juridique vs Adolescents
L’étude de l’Arcom détermine que 57,5 % des garçons de 12 à 17 ans consultent des sites à caractère pornographique, contre 27,25 % des filles du même âge. Pour de nombreuses personnes, cette loi est une avancée essentielle. La bataille entre les législateurs et les adolescents ressemble à un jeu de chat et de souris… sauf que la souris court à la vitesse de la fibre, et le chat s’embourbe dans les procédures parlementaires. La loi française du 30 juillet 2020, comme celle en cours au Royaume-Uni (Online Safety Act, votée en 2023), et la loi étasunienne Senate Bill 287, plus connue sous « S.B. 287 », imposent donc un contrôle renforcé.
Il est nécessaire de prouver son identité par différents moyens (carte bancaire, reconnaissance faciale…), autant d’outils pour s’assurer que l’internaute est majeur.
En France, la loi produit ses premiers effets. Côté britannique, elle entrera pleinement en vigueur dans un mois, avec des obligations de « robust age assurance » pour les plateformes. Mais là encore, le rythme reste lent face à la créativité numérique des adolescents. Pendant ce temps, les États-Unis avancent en ordre dispersé. La Californie indique que toute application qui ne limite pas ses contenus nocifs aux mineurs peut être poursuivie en justice. L’approche plus dissuasive que protectrice ne garantit pas non plus une application uniforme à l’échelle fédérale. Partout, les États tâtonnent, contraints de réécrire des lois dans un monde où les ados ont déjà changé de plateforme, de langage et d’algorithmes. Le temps juridique est un temps long, le leur est instantané. (Crédits : Kindel Media/Pexels)
Finalement, on peut bien légiférer, filtrer, surveiller… Mais peut-on vraiment protéger efficacement les mineurs dans un univers qu’ils comprennent mieux que nous ? Quand la technologie galope, que les codes se déverrouillent à douze ans, et que la loi, elle, marche encore à pas d’escargot ? Cette question, chaque parent se la pose. Mais c’est une question d’éducation. Le comportement, les attitudes, le savoir-vivre sont l’apanage des parents ou de l’État ? Logiquement, l’État produit des enseignements et les parents éduquent leurs enfants. Il est temps de remettre l’église au milieu du village, en affrontant avec lucidité et humilité : nous ne dresserons pas de murailles numériques solides si nous oublions de parler, d’écouter et de transmettre.
juin 5, 2025
Des agents (encore) identifiés à cause d’une appli
Alors que TikTok est une menace pour la sécurité nationale des USA explique le sénateur John Tune, il n’est plus accessible le 19 janvier 2025, et rétablit le quelques heures après par le président Trump, pas encore investi. Sauf que ce réseau social est utilisé principalement sur smartphone. Récemment, des militaires français dévoilent, malgré eux des informations sensibles, à cause d’une application. Si l’ensemble des médias jettent l’opprobre sur les militaires français, ils ne sont pas les premiers ni les derniers. Néerlandais, Allemands, Américains, Russes, Israéliens… avant eux.
L’affaire semble détonante, voire explosive, cela dit elle est fâcheuse. Fournir des renseignements militaires à travers l’utilisation d’IoT ne devrait pas arriver… et pourtant. Comme l’explique Le Monde, « StravaLeaks : des dates de patrouilles des sous-marins nucléaires français dévoilées par l’imprudence de membres d’équipage ». L’application précise alors que « la Heatmap ne contient que des activités publiques et respecte tous les paramètres de confidentialité ». Des titres révélant cette affaire malheureuse sont nombreux. Mais est-ce la première fois sur le globe terrestre ?
Informations confidentielles divulguées
Les bases militaires et autres lieux stratégiques sont soumis à des protocoles stricts de sécurité. Il sera probablement renforcé très prochainement. Mais ce n’est pas la première et dernière fois que ce genre d’affaires existent. Si les révélations de 2024 font grand bruit, en 2018 se déroulent des fuites également à travers des applications, et une enquête approfondie. En 2022, l’exploitation de l’application Strava révèle l’emplacement de sites sensibles en Israël, tels l’emplacement précis des bases de l’armée de l’air, le quartier général du Mossad et les bases de renseignements militaires.
Tout personnel militaire se doit d’être en forme physique pour être prêt à chaque instant, car « les armées sont un acteur essentiel de la stratégie de défense et de sécurité nationale. […] prêtes en permanence à faire face à un conflit majeur, agissant dans tous les milieux et champs de confrontation pour “gagner la guerre avant la guerre” dès le stade de la compétition, état normal du monde fondé sur un ordre international régi par le droit. Dans le respect des valeurs et de l’éthique qui les animent, elles sont engagées au service des Français et performantes dans leurs opérations », pose le Chef d’état-major des armées, le général d’armée Thierry Burkhard.
Dans chaque lieu stratégique, les employés montrent patte blanche. À travers scanners, système de reconnaissance faciale et équipes cynophiles, fouilles des voitures… Les téléphones portables et autres appareils électroniques y sont interdits.
L’enquête publiée fin octobre 2024 par le journal Le Monde affole les services de sécurité partout sur terre. « Les déplacements hautement confidentiels du président américain Joe Biden, de ses rivaux Donald Trump et Kamala Harris et d’autres dirigeants mondiaux peuvent être facilement suivis en ligne grâce à une application de fitness utilisée par leurs gardes du corps, a révélé une enquête du journal français Le Monde », indique Irish Independent.
Un triptyque du Monde dans lesquels Sébastien Bourdon, Antoine Schirer et Cellule Enquête vidéo dévoilent les dessous de l’affaire. Dans ce dernier volet, les traces numériques concernent des militaires de la base opérationnelle de L’île Longue, comme en 2018. Ce lieu hautement stratégique abrite la composante océanique stratégique de la dissuasion française, à savoir quatre sous-marins nucléaires lanceurs d’engins (SNLE).
(Crédits : Jakub Zerdzicki/Pexels)
La base opérationnelle de l’île Longue protège en son sein les quatre SNLE : le Triomphant, le Téméraire, le Vigilant et le Terrible. Ils sont « admis au service actif respectivement en 1997, 1999 et 2004 et 2010 bénéficient des matériels les plus modernes ainsi que d’une discrétion acoustique accrue ». Ils emportent l’arme nucléaire, le M51.
Les indiscrétions malheureuses
En septembre 2017, Strava lance sa « Global Heatmap ». Elle cartographie l’ensemble des trajets empruntés par ses utilisateurs. Cerise sur le gâteau, plus un itinéraire est emprunté, plus son tracé est épais et lumineux. En 2018, le site De Correspondent à travers les quatre auteurs révèle une enquête minutieuse dont le titre est « voici comment nous avons trouvé les noms et les adresses des soldats et des agents secrets à l’aide d’une application de fitness simple ».
L’article met en lumière une problématique cruciale concernant la sécurité des données personnelles et les dangers liés à la géolocalisation. Les auteurs expliquent comment l’appli fitness Polar a permis de révéler les identités et les localisations de militaires, d’agents de renseignement… travaillant sur des sites hautement sécurisés.
Tout comme d’autres applis (de fitness), elle collecte et affiche publiquement les données de ses utilisateurs (parcours GPS, noms, photos, jusqu’à parfois les coordonnées).
En les croisant, ils identifient des personnes travaillant dans des bases militaires, des agences de renseignement, des centres de stockage d’armes nucléaires, comme 208 lieux d’intérêts. Ainsi « nous trouvons l’adresse de Frank en quelques minutes. Nous apprenons aussi qu’il a au moins deux filles. Nous savons où travaille sa femme et quels sont leurs passe-temps. Nous avons accès à des photos de chaque membre de la famille. Frank n’est pas la seule personne qui enregistre ses séances d’entraînement à la base de Volkel. »
Ils ont également repéré des membres de la NSA aux États-Unis et d’autres agents en poste dans des zones sensibles (Gao au Mali, Guantanamo Bay à Cuba, possible GRU à Moscou, le MI5, le GCHQ). Cette révélation montre que des informations critiques, qui devraient être protégées, sont accessibles à quiconque sait où chercher.
Les applications de fitness, comme d’autres outils IoT, capturent des volumes considérables de données sensibles, mais leur sécurité est souvent reléguée au second plan au profit de la facilité d’utilisation et de l’engagement utilisateur. Cet exemple démontre comment des données a priori anodines peuvent être exploitées pour des activités malveillantes ou de l’espionnage. (Crédits : Plann/Pexels)
Ils expliquent que « les coordonnées GPS pour ces sites sont incroyablement faciles à trouver — souvent en utilisant Google Maps, et sinon via Wikipédia ». Leurs recherches en fonction des données publiques laissent sans voix. Ils identifient « un inspecteur général de l’armée américaine qui fait des tours autour de Guantanamo Bay ; plusieurs soldats américains à l’aéroport international d’Erbil, dans le nord de l’Irak ; plusieurs soldats français à une base militaire à Gao (Mali) ; et un analyste américain qui s’occupe de Fort Meade dans le Maryland, où se trouve également la NSA. » Puis via Endomondo « trois sergents et un administrateur de système à Guantanamo Bay ; Conseiller auprès des chefs d’état-major interarmées au fort Meade ; et deux soldats à l’aéroport international d’Erbil ».
janvier 20, 2025
Voir à travers les murs, un fantasme devenu réalité ?
Rien de plus satisfaisant que de voir à travers les murs, comme le fait Superman. Le vieux fantasme d’espion est désormais réalisé… par trois chercheurs de l’université Carnegie Mellon, aux États-Unis, en utilisant le Wi-Fi. Rassurez-vous, il faut quelque peu du matériel, des connaissances et du temps. Grâce à cette « trouvaille », plus de cachette possible dans un domicile possédant une « box internet ». De Waterloo à Pittsburgh, des chercheurs nous amènent à voir différemment.
Vous pensez que si les volets sont fermés vous êtes protégé chez vous ? Oui en théorie, enfin, presque ! C’est sans compter l’IoT. La triangulation des téléphones portables permet, par le croisement des données obtenues à partir de trois antennes relais, le positionnement de votre portable. L’évolution des technologies permet tous les fantasmes. Le deep learning, l’IA comme Chat GPT et bien d’autre rendent les systèmes d’informations prégnants. « Les progrès de la vision par ordinateur et des techniques d’apprentissage automatique ont conduit à un développement significatif de l’estimation de la pose humaine en 2D et en 3D à partir de caméras RVB, de LiDAR et de radars. »

Trois chercheurs Jiaqi Geng, Dong Huang et Fernando De La Torre de l’université de Carnegie Mellon à Pittsburgh ont fait la découverte. Grâce aux signaux Wi-Fi, ils ont démontré la possibilité de « voir » à travers les murs. Ils ont développé une méthode pour détecter la forme tridimensionnelle et les mouvements des corps humains dans une pièce. Ce en utilisant uniquement des routeurs Wi-Fi.
Comparaison qualitative à l’aide d’images synchronisées et de signaux WiFi. (ci-dessus). Les données isolées donnent la synthèse des perturbations et l’isolation des signaux pour détourer les être humains dans une pièce, comme la photo ci-dessous. (Crédits : Geng/Huang/De la Torre/Carnegie Mellon University Pittsburgh, PA, USA)
Ils utilisent un système appelé DensePose. Il a été mis au point par des chercheurs basés à Londres, ainsi que des chercheurs en Intelligence Artificielle de Facebook. « Densepose est un modèle de Deep Learning permettant de convertir en temps réel des photos 2D en estimations de modèles 3D des corps humains présents sur ces photos. »
L’étrange parcours des ondes
Comme l’air contenu dans une pièce, les ondes sont omniprésentes. La voix est une onde sonore qui se propage « comme une vibration de proche en proche par compression puis dilatation du milieu matériel dans lequel elle se trouve. » Les routeurs Wi-Fi diffusent en permanence des radiofréquences que tout appareil électronique capte et utilise. Les ondes se déplacent, rebondissent et traversent tout ce qui les entoure… murs, meubles, rideaux, êtres vivants… Comme pour déterminer l’écoulement d’un cours d’eau, il suffit de verser un colorant inoffensif pour suivre son cheminement. En quelque sorte inverser un photo pour obtenir son négatif. Ainsi l’invisible devient palpable via les ondes, ici Wi-Fi
Les images ainsi révélées montrent les individus isolés et visibles à travers mes murs. (Crédits : Geng/Huang/De la Torre/Carnegie Mellon University Pittsburgh, PA, USA)
« Nous avons mis au point un réseau neuronal profond qui associe la phase et l’amplitude des signaux Wi-Fi aux coordonnées UV dans 24 régions humaines. Les résultats de l’étude révèlent que notre modèle peut estimer la pose dense de plusieurs sujets, avec des performances comparables à celles des approches basées sur l’image, en utilisant les signaux Wi-Fi comme seule entrée. Cela ouvre la voie à des algorithmes peu coûteux, largement accessibles et préservant la vie privée pour la détection humaine. »
Faille de sécurité
Un article paru le 3 novembre 2022 sur le site de l’université de Waterloo fait sens. Des chercheurs relèvent une faille de sécurité permettant aux attaquants d’utiliser le Wi-Fi… pour voir à travers les murs. Ils mettent au point un appareil, nommé Wi-Peep. Couplé à un drone, l’objet peut voler près des immeubles et utiliser les ondes WI-FI des habitants. Ainsi l’ensemble des objets usant du WI-FI sont identifiés en quelques secondes.
Même quand le réseau Wifi est protégé par un mot de passe, les appareils répondent aux tentatives de connexion. Le Wi-Peep localise les emplacements des objets connectés à l’intérieur d’un bâtiment. Il envoie plusieurs « messages » aux appareils connectés. Puis, les distances sont calculées en fonction du temps de réponse à ces messages tel un sonar.
Pour procéder à l’attaque, il faut avoir les adresses MAC uniques des appareils du réseau. Il faut 12 heures d’accumulation passive pour avoir les ressources nécessaires selon les chercheurs de l’université Carnegie Mellon. La seconde possibilité est l’exploit du WI-FI Polite. Un schéma simplifié de l’attaque ci-dessus. (Crédits : Source/Kaspersky)
« En utilisant une technologie similaire, on pourrait suivre les mouvements des agents de sécurité à l’intérieur d’une banque en suivant l’emplacement de leurs téléphones ou montres intelligentes. De même, un voleur pourrait identifier l’emplacement et le type d’appareils intelligents dans une maison, y compris les caméras de sécurité, les ordinateurs portables et les téléviseurs intelligents, pour trouver un bon candidat pour une infraction », explique le Dr Ali Abedi, professeur adjoint d’informatique à Waterloo. Selon Kaspersky cette méthode semble posséder un risque assez bas de déploiements, mais préconise d’utiliser un système anti-drone. « Il ne va pas vous protéger contre la technique Wi-Peep, mais il évitera qu’on ne vous espionne depuis les airs. »
mai 4, 2023
Vingt-cinq Tesla télécommandées à distance
Le rêve de toute personne, avoir une voiture à taille réelle télécommandable. Mieux encore, comme la célèbre coccinelle de Walt Disney, dans « Un amour de coccinelle » en 1968, une automobile vivante. Il aura fallu attendre 2022 pour que cela soit possible, grâce à David Colombo, pas de lien de parenté avec l’inspecteur du même nom. C’est une histoire à la fois stupéfiante et effrayante, d’un jeune homme de tout juste dix-neuf qui de chez lui intervenait sur des commandes et fonctions des voitures Tesla.
Non, ce n’est pas un canular, ne vous pincez pas, ce n’est pas la peine, en plus ça fait mal. Le spécialiste en sécurité informatique du nom de David Colombo a réussi à opérer sur des Tesla situées à l’autre bout du monde. Il pouvait, par exemple, démarrer le véhicule sans que le propriétaire comprenne comment cela est possible, et bien d’autres encore. Heureusement, il n’est pas du côté obscur de la force. Le jeune homme de 19 ans est un individu qualifié de White Hat. De ce fait, il a immédiatement alerté les médias pour que l’information soit diffusée avant qu’un être malveillant ne fasse la même chose.
Le fondateur de colombo_tech expliquait qu’il pouvait contrôler à distance 25 Tesla dans 13 pays. Le fantasme s’arrête là. « je ne peux pas intervenir sur la conduite d’une personne (à part lancer la musique au volume maximum ou faire clignoter les feux) et je ne peux pas non plus conduire ces Tesla à distance », gazouille-t-il. (Crédits : capture d’écran/Twitter)
Attachez vos ceintures, David Colombo a pu verrouiller et déverrouiller la voiture, baisser les fenêtres, démarrer sans la carte ou encore désactiver le système de sécurité dans sa globalité. Il peut savoir si un individu se trouve à l’intérieur du véhicule. Dans une interview, accordée à Bloomberg, David Colombo a fourni des captures d’écran et d’autres documents relatifs à ses recherches, identifiant le fabricant du logiciel et donnant des précisions sur les vulnérabilités. Il a demandé que ne soit pas publié de détails, tant qu’un correctif n’a pas vu le jour.
Il ne s’agit pas d’un « contrôle total à distance », c’est-à-dire la possibilité de contrôler à distance la direction, l’accélération et le freinage.
David colombo. twitter
Bloomberg confirme que tout est vrai après lecture et vérification. Selon les premières informations, le jeune homme aurait utilisé des API vulnérables présentes dans d’autres applications que celle de Tesla, installées dans le téléphone des détenteurs desdits véhicules. « Ce n’est pas une vulnérabilité de l’infrastructure de Tesla. C’est la faute des propriétaires. » Il affirme avoir été en contact avec des membres de l’équipe de sécurité de Tesla, ainsi qu’avec le fabricant du logiciel tiers. Cette découverte met en exergue les risques liés à l’utilisation naïve de l’Internet des objets (IoT), où tout, des automobiles aux réfrigérateurs, est connecté en ligne — et devient donc potentiellement vulnérable aux menaces de piratage. « Il suffit de ne pas connecter les objets critiques à l’internet, déclare-t-il. C’est très simple. Et si vous devez le faire, assurez-vous qu’il est configuré de manière sécurisée »
janvier 13, 2022
Quand l’utilité première est… détournée
Alors que la fête de Noël laisse doucement la place au réveillon du Nouvel An, les cadeaux disposés au pied du sapin ravirent petits et grands. Les IoT font fureur, comme l’AirTag d’Apple. Outil merveilleux qui vous permet de localiser vos objets égarés. Il s’agit d’un tout modeste appareil à accrocher à un autre que vous ne souhaiteriez pas perdre tel votre porte-monnaie, carte bancaire, télécommande, animal de compagnie, enfant, conjoint pour les plus jaloux… peut-être votre vie privée, voire bien, plus.
Le 20 avril 2021, Apple annonçait ses AirTags, des balises Bluetooth de grande précision qui octroie de recouvrer vos choses perdues. Avec le slogan « Perdez l’habitude de tout perdre », la marque à la pomme frappe fort. Elle poursuit en indiquant que « l’AirTag est l’accessoire tout trouvé pour tout retrouver. Accrochez‑en un à vos clés, glissez‑en un autre dans votre sac, et n’y pensez plus. Grâce aux AirTags, vous pouvez facilement repérer vos objets dans l’app Localiser, qui vous permet aussi de détecter vos appareils Apple et de ne pas perdre vos proches de vue. » Effectivement vous pouvez localiser ceux qui vous sont chers, comme les autres.
C’est la mésaventure qu’une jeune femme, connue sous le pseudo #Sega_JEANAsis, a vécue le 18 décembre 2021. Sur le réseau Twitter, elle raconte que quelque chose de terrifiant lui est arrivé. « Quelqu’un a attaché un Apple AirTag sous ma roue avant alors que j’étais dans un bar ». Tandis qu’elle rentre chez elle, seule sur les voies de circulation, sans aucune voiture de près ou de loin autour d’elle, des alertes apparaissent sur son téléphone.

Elle n’a pas réussi à débusquer l’intrus, de ce fait elle n’a pas osé rentrer chez elle. Ce n’est que le lendemain que l’appareil a été retrouvé dans l’entourage de la roue avant, côté passager.(Crédits : capture d’écran/Twitter)
« J’avais déjà reçu cette alerte auparavant alors que j’étais dans les embouteillages… parfois, quand vous êtes près d’autres personnes pendant un certain temps sur la route, Apple pense qu’il vous suit », se rappelle-t-elle. Elle a commencé à tourner à droite, puis à gauche, plusieurs fois, mais comme il était tard, et que « je recevais encore ce message à plusieurs reprises. J’ai vérifié toutes mes affaires, comme mon sac à main, les poches de mon trench-coat, mon portefeuille… », en vain confirme-t-elle. Puis la panique, les doutes, « et s’ils l’avaient collé sur ma voiture ? » disait-elle avec prémonition. Par mesure de précautions, Jomanda Rodriguez passera la nuit ailleurs que chez elle. Ce n’est que le lendemain que l’objet sera trouvé, après une inspection de sa voiture par un membre de son entourage, bien caché.
Possesseurs d’un smartphone Android, sous IOS ou pas de smartphone du tout, Apple a apparemment pensé à votre vie privée. D’après la firme, vous ne pouvez pas être suivi virtuellement ni pisté par des AirTags laissés sur vous à votre insu. Ils émettront un son reconnaissable dès qu’ils s’éloignent de l’appareil auquel ils sont associés. (Crédits : Apple)
Malheureusement, plusieurs Américaines ont depuis relayé les mêmes mésaventures. Ashley Estrada, 24 ans raconte sur TikTok en deux courtes (1, 2) vidéos ce qui lui est arrivé en septembre. Sur la chaîne du Daily Mail, elle confirme être devenue paranoïaque, car « quelqu’un est allé délibérément jusqu’à ma voiture et est passé dessous » pour installer l’AirTag. L’appareil sera retrouvé derrière sa plaque d’immatriculation. L’intention malveillante ne fait aucun doute pour Ashley, ce qui l’effraie est que « cela pourrait être la sœur de quelqu’un d’autre, leur mère, leur petite amie ça pourrait facilement arriver à n’importe qui ». Le titre de l’article du Washington Post est sans appel. « Les trackers AirTag d’Apple ont permis de me traquer avec une facilité déconcertante lors d’un test. »
Harcèlement 2.0
Aux États-Unis, les services de police du Colorado, de Géorgie, du Michigan et du Texas ont reçu des allégations d’exploitation des AirTags à des fins diverses, y compris l’oppression domestique et les tentatives de vol de voitures. « Je pense qu’il ne fait aucun doute que les AirTags d’Apple sont utilisés pour le harcèlement », affirmait Éva Galperin, directrice de la cybersécurité chez l’Electronic Frontier Foundation, le bureau du shérif de Twin Falls, situé dans l’Idaho, émettait un avertissement le 15 décembre 2021 déclarant que « les AirTags constituent un danger pour tout le monde ».
Le parcours est notifié par l’AirTag sur l’application qui marque chaque arrêt, chaque changement de direction. (Crédits : capture d’écran)
Mais en particulier pour les victimes potentielles de violence conjugale, comme d’agression sexuelle, alors que le procès de l’affaire Epstein est ouvert depuis fin novembre. Du côté de la firme, le porte-parole d’Apple n’a pas contesté les faits de surveillance par d’autres personnes, mais a refusé de révéler combien de fois les forces de l’ordre locales ont appelées la société pour obtenir des informations sur le propriétaire d’un AirTag. Pour décourager ce qu’elle nomme le « pistage non désiré », Apple a intégré une technologie dans AirTags pour avertir les victimes potentielles, notamment des alarmes sonores et des messages sur les AirTags suspects qui apparaissent sur les iPhone, assure Geoffrey A. Fowler dans The Washington Post. Alors, prenez-soin de vous, et faites attention à chaque femme qui vous entoure tandis les violences faites aux femmes se révèlent aux yeux du monde de plus en plus.
décembre 27, 2021
Vol par « Mouse-jacking »
Ce n’est pas le titre du dernier blockbuster de Noël ni le prochain Disney sortant pour les fêtes, il s’agit bel et bien d’une technique de vol de voiture. Elle est plébiscitée dans 75 % des crimes, pour dérober votre chère automobile sans effraction. Fini les portes en papillon, ou encore le coup du cintre pour déverrouiller l’objet de convoitise. Désormais, comme beaucoup de choses, tout passe par l’« Informatique ». Bienvenue dans l’ère de l’Internet des Objets, vous en êtes devenu dépendant sans y prêter attention, c’est bien là, où le bât blesse.
« Apprêtez-vous à entrer dans une nouvelle dimension, qui ne se conçoit pas seulement en termes d’espace, mais où les portières entrebâillées du temps peuvent se refermer sur vous à tout jamais… La Quatrième dimension ! » Voici l’un des textes présentant l’épisode de la série « The Twilight Zone », qui donne le ton, comme le « La » en classe de musique, bienvenue dans le monde réel qui parait incroyable, avec le mouse-jacking. C’est la méthode la plus répandue, plus de trois quarts des malfaiteurs ont recours à cette dernière.
La police de West Midlands diffusait la vidéo d’un vol par Mouse Jacking qui s’était déroulé le 25 septembre 2017, ce dans un but éducatif auprès de la population. (Crédits : West Midlands Police/YouTube)
Le 13 décembre 2021, la police fribourgeoise démantelait un trio de cambrioleurs de voitures haut de gamme, qui aurait sévi entre septembre 2020 et avril. Après leurs interpellations, les trois trentenaires sont placés en détention. Via des appareils électroniques, les auteurs présumés relaient le signal de la clé du véhicule, tandis qu’elle se trouve au domicile du propriétaire. Il trompe le récepteur situé dans l’auto, et repart avec. Au total, 17 vols de voitures avec ce mode opératoire ont été recensés entre septembre 2020 et avril 2021, en Suisse.
Comme dans le film « Gone in 60 seconds », le plus souvent, les malfrats répondent à une commande. Dans l’affaire fribourgeoise, l’un des suspects a été interpellé en Allemagne, puis extradé vers la Suisse. Les deux autres l’ont été à Bâle, avant d’être acheminés dans le canton de Fribourg. (Crédits : Pexels/Pixabay)
« Le montant total du butin n’a pas pu être estimé avec exactitude, mais il se chiffre en plusieurs centaines de milliers de francs pour toute la Suisse. Les auteurs présumés de ces méfaits ont été placés en détention préventive et le sont encore à l’heure actuelle », a précisé la police. Pour prévenir ce type de vol, la police suisse recommande de déposer sa clé de voiture dans une boîte métallique ou dans un étui en aluminium. De cette manière, « les malfrats n’auront ni la possibilité de se connecter à la clé ni à la voiture, via un appareil électronique », déclare-t-elle.
Êtes-vous assuré pour ce type de vol ?
Ainsi comme le jackpotting, il suffit d’usurper l’identité, non du DAB, mais de la clé. Cela permet au malfaiteur d’ouvrir, et de repartir au volant de votre véhicule, le tout en un clin d’œil, et surtout sans effraction. Il ne faudrait alors pas plus de deux à trois minutes à un voleur pour dérober une voiture grâce à cette méthode, tandis que pour certaines, seule une poignée de secondes est nécessaire. « C’est notamment le cas de la DS 3 Crossback, qui pâtit d’un système d’ouverture sans clé défaillant », soulignait Auto-Moto en février 2021. Ce n’est pourtant pas le principal dilemme. Dans l’inconscient collectif, comme pour tout assureur — un assureur couvre le risque, mais ne le prend jamais — « sans effraction, il n’y a pas de vol », car juridiquement, c’est à l’accusateur d’apporter la preuve du délit.
Celui qui réclame l’exécution d’une obligation doit la prouver
Art. 1315 du code civil
L’information était vraie… jusqu’au 22 septembre 2015. Un arrêt de la Cour d’appel de Paris établit un précédent (CA Paris, 22 sept. 2015, n°14/14596), ce dernier est intéressant pour tous les possesseurs de véhicules en France. Situons l’affaire. Un « propriétaire d’un véhicule Peugeot 307 […] garanti par un contrat d’assurance multirisque voiture particulière souscrit le 14 janvier 2012 auprès de la MACIF, a été victime d’un vol de son véhicule le 17 septembre 2012 ». Son véhicule est retrouvé, deux jours plus tard, complètement dépecé sur la même commune.
Bref, avant de signer un contrat, quel qu’il soit, lisez-le et éclaircissez les zones d’ombres s’il y en a, avec votre interlocuteur.
N’oubliez pas les délais de rétractation, en fonction dudit contrat que vous paraphez. (Crédits : StockSnap/Pixabay)
Suite à la réception du rapport de l’expert qu’elle avait mandaté, la compagnie MACIF opposait, par courrier du 8 octobre 2012, un refus de garantie à son assuré motivé par « l’absence de traces d’effraction telles que prévues au contrat. » La Cour d’appel statuait que sa voiture « lui a été volé à l’aide d’une effraction électronique ce qui constitue une effraction au sens commun du terme, que dès lors la garantie de l’assureur est due. » Elle va même plus loin en établissant que « la clause prévue dans l’article 5 des conditions générales du contrat est abusive parce qu’elle réduit les moyens de preuve de l’effraction ». La cour d’appel insiste que le mode de preuve restrictif « ne correspond plus à la réalité des techniques modernes mises en œuvre pour le vol des véhicules ».
décembre 16, 2021
Fuite au pays de l’Internet des objets (IoT)
La population mondiale est de plus en plus connectée, tout du moins, par les objets. Lors des trois premiers mois de 2020, tandis que les sociétés étaient figées, les ventes de montres « intelligentes » progressaient de 20 % au niveau de la planète, sans discontinuer. Au deuxième trimestre 2021, les livraisons s’envolent de 47 % selon les chiffres de Strategy Analytics passant de 12, 3 à 18,1 millions d’unités écoulées. Un rythme que les industriels n’avaient pas connu depuis 2018. Dans ce même temps, plus de 61 millions d’enregistrements de données fuitaient.
En premier lieu, « Rendez à César ce qui est à César, et à Dieu ce qui est à Dieu ». Cet apophtegme (du grec ancien ἀπόφθεγμα / apóphthegma : ” précepte, sentence “) est une parole mémorable ayant valeur de maxime, soit une formule exprimant une idée générale. C’est pourquoi elle est une sorte d’adage auquel on confère une autorité particulière en l’attribuant, de façon exacte ou apocryphe, à une personne. Le sujet de cet article fait suite à un échange avec Fernanda V., une lectrice de « Libr’Expression », concernant un papier sur les objets connectés : « Je voulais le partager avec vous, car l’article nous apprend l’importance de se méfier de nos données et je pense qu’il serait très utile pour vos lecteurs aussi, si vous décidez de le partager avec eux. »
Pour apprécier l’ampleur de la fuite, et des possibles autres, il est nécessaire de mesurer le marché mondial des objets connectés que sont les montres. Selon les dernières recherches de Strategy Analytics, les expéditions internationales bondissaient de 47 % par an pour atteindre les 18 millions d’unités au deuxième trimestre 2021. L’Apple Watch a conservé la première place avec 52 % des parts de marché mondial des tocantes « intelligentes », Samsung la deuxième (11 %) et Garmin la troisième (8 %). « Les ventes en ligne d’appareils axés sur le fitness qui contribuent à soutenir les soins de santé personnels restent populaires et constituent le principal moteur du boom des smartwatchs », explique Steven Waltzer, analyste principal au sein de Strategy Analytics. La période due au SARS-CoV-2 a modifié la perception des personnes quant à leurs corps. Ainsi, l’Apple Watch Series 6 (avant l’arrivée de sa grande sœur) est le modèle le plus populaire pour de multiples raisons et « d’un portefeuille croissant d’applications de santé et de fitness », justifie Neil Mawston, directeur exécutif chez Strategy Analytics.
« Nous nous attendons à voir 20 milliards d’objets connectés à Internet d’ici la fin de l’année 2020. […] comme les distributeurs automatiques, les moteurs d’avion, les voitures connectées… », prophétisait en 2019 Mark Hung, vice-président en charge des études au cabinet d’analyse Gartner (Crédits : roxanawilliams1920/Pixabay)
L’Internet des objets est conséquent : enceintes, ampoules, thermostats, téléviseurs, réfrigérateurs, jouets pour adulte ou enfant, caméras, alarmes… Comme les montres dites intelligentes qui connaissent un plébiscite fulgurant. Ce succès profite avant tout à Apple dont les expéditions annuelles sont en hausse de 46 % avec 9,5 millions d’unités. La marque à la pomme revendique ainsi une part écrasante de 52,8 %. Le marché planétaire des chronographes connectés a crû à un rythme effréné de 53,5 % par an, en volume, entre 2014 et 2020. Si l’Amérique du Nord représente le premier marché régional pour ce produit avec plus d’un tiers (35 %) de la consommation mondiale, « c’est en Asie-Pacifique que la croissance devrait être la plus forte dans les années à venir ». La demande asiatique est alimentée par l’accès généralisé aux smartphones et l’utilisation massive de services digitaux. Le marché français est lui aussi en profonde hausse, mais dans une bien moindre mesure que ses voisins britannique, allemand ou italien. En effet, le taux de pénétration des montres connectées en France est le plus bas des quatre pays cités précédemment.
Il existe un débat sur la façon dont les trackers de fitness ou les wearables IOT peuvent être considérés comme des dispositifs médicaux. Question primordiale, car le marché mondial de la gestion de la santé devrait atteindre 46,7 milliards de dollars américains d’ici 2026. (Crédits : fancycrave1/Pixabay)
61 053 956 enregistrements exposés
Une base de renseignements non protégée exhibait 61 053 956 enregistrements (17, 6 Gb) contenant des données provenant de trackers de fitness et de « wearables » (technologie portable comme un vêtement, une montre…), selon un rapport établi par le chercheur en sécurité Jeremiah Fowler, sur WebsitePlanet. Dans un échantillon limité d’environ 20 000 enregistrements, Fowler indique que parmi les principaux trackers de santé et de fitness apparaît celui de Fitbit (racheté par Google pour 2,1 milliards en 2021) comme source 2 766 fois, et les instances de ce qui semble être l’Healthkit d’Apple, 17 764 fois. Ce dernier et son équipe de recherche constataient que de nombreux enregistrements exposés contenaient des informations telles que :
- Le prénom
- Le nom
- Le pseudonyme
- La taille
- La date de naissance
- Le sexe
- La géolocalisation
- L’identifiant de géolocalisation
- Le relevé cardiaque
- Le saturation en oxygène
- Le type de sport
- Le profil-utilisateur
- Les données relatives au sommeil
- Les statistiques liées à la vitesse de déplacement
- Le traceur lui-même
- Le poids de l’utilisateur
Après une fouille minutieuse, de nombreuses références se rattachaient à « GetHealthApp », une société basée à New York qui offre une solution unifiée pour accéder aux informations de santé et de bien-être provenant de centaines de wearables, d’appareils médicaux et d’applications. « J’ai immédiatement envoyé une notification de divulgation responsable de mes découvertes et j’ai reçu une réponse le lendemain me remerciant pour la notification et confirmant que les données exposées avaient été sécurisées », notifie le chercheur. Les différents dispositifs de suivi de la forme physique sont devenus monnaie courante. Approximativement 21 % des adultes américains disent enfiler fréquemment une montre « intelligente » ou un tracker de fitness, selon une étude de Pew Research réalisée en 2019 aux États-Unis.
Alors que 2020 commençait, avec les traditionnelles résolutions du Nouvel An, environ un adulte américain sur cinq (21 %) stipule régulièrement porter une montre « intelligente » ou un tracker de fitness portable, selon l’enquête du Pew Research Center menée du 3 au 17 juin 2019. (Crédits : DR)
Innocent aux mains pleines
Dans son rapport, Fowler note que de multiples trackers de fitness sont liés à des profils où les utilisateurs sont encouragés à saisir des informations personnelles. Cela facilite grandement les méfaits futurs des différentes personnes derrière des codes malveillants. Chaque détail est une mine de donnée, pour identifier l’usager. « La plupart des utilisateurs de wearables pensent qu’aucun cybercriminel ne s’intéresse au nombre de pas qu’ils font ou à la durée de leur sommeil, mais c’est une erreur d’ignorer comment vos données sont utilisées ou partagées. Toutes les données ont de la valeur et, à mesure que la technologie des wearables se développe, les types et la précision des données collectées sur les utilisateurs se développent également », écrit-il.
Environ quatre Américains sur dix entérinent l’usage des indications desdits trackers de fitness pour la recherche sur les maladies cardiaques. Auxquels convient-il d’ajouter les 22 % qui ne se prononcent pas, car « qui ne dit mot consent ». Donc, près de deux tiers des Américains acceptent que leurs données soient utilisées. (Crédits : DR)
La Food and Drug Administration (FDA) a désigné FitBit comme un logiciel en vente libre et un dispositif médical de classe II. Le 14 septembre 2020, Fitbit a d’ailleurs reçu l’autorisation de la FDA, ainsi que l’approbation CE pour sa fonction d’électrocardiogramme permettant de suivre les irrégularités du rythme cardiaque. « Les dispositifs de Fitbit collectent désormais des données sur environ 29 millions d’utilisateurs dans le monde et Google affirme que les données sur la santé et le bien-être des utilisateurs de Fitbit ne seront pas utilisées pour les publicités Google. Dans de nombreux autres secteurs, la technologie dépasse les lois et les règlements au détriment de la vie privée des utilisateurs. » Selon le site Web et la FAQ de Gethealth.io, le processus est conforme à la loi HIPAA et indique que « les données des utilisateurs sont sécurisées grâce au transport SSL, au cryptage AES256, à la journalisation et au suivi, et toutes les données sont stockées et gérées de manière conforme à la loi HIPAA. »
Comment sécuriser ces objets ?
En mai 2016, un audit d’objets connectés avait été réalisé dans le cadre du « Sweep day ». La Commission nationale informatique et libertés (CNIL) affichait un constat pour le moins préoccupant :
- 59 % ne fournissaient pas une information claire et complète sur la collecte et les conditions d’exploitation des données à caractère personnel des utilisateurs
- 68 % ne donnaient aucune information relative aux conditions de stockage des données
- 72 % n’informaient pas les utilisateurs des modalités de suppression de leurs données du dispositif connecté
- 38 % ne fournissaient pas de coordonnées permettant aux utilisateurs de se renseigner sur les modalités de traitement de leurs données à caractère personnel
Pour certains, ce sont autant de portes laissées ouvertes aux personnes malveillantes. Tous sont concernés, le système d’information des entreprises et administrations, infrastructures publiques (eau, électricité, gaz, télécoms, transports, hôpitaux, administrations…)… tout système électronique en réseau est désormais susceptible d’être infecté.
« L’Internet des objets (IoT) n’ont été prévus pour être sécurisés. Du pain béni pour les cyberpirates, qui bénéficient d’outils industrialisés pour mener leurs attaques. » (Crédits : DR)
Voici dix pratiques à adopter données par le site d’assistance et prévention en sécurité numérique :
- Avant l’achat, renseignez-vous sur l’objet connecté
- Modifiez les mots de passes par défaut de vos objets connectés
- Mettez à jour sans tarder vos objets connectés et les applications associées
- Protégez vos informations personnelles
- Vérifiez les paramètres de sécurité de vos objets connectés et de leurs applications
- Éteignez systématiquement vos objets connectés lorsque vous ne les utilisez pas
- Mettez à jour les appareils raccordés à vos objets connectés
- Sécurisez votre connexion Wi-fi
- Limitez l’accès de vos objets connectés aux autres appareils électroniques ou informatiques
- Supprimez vos données et réinitialisez votre objet lorsque vous ne vous en servez plus
L’agence nationale de la sécurité des systèmes d’information (ANSSI) a mis en ligne un document à télécharger. Si vous doutez encore, voici deux exemples : en 2018, un casino s’est fait pirater la base de données de ses plus gros clients. Les pirates ont réussi à y accéder en passant par le thermomètre connecté insuffisamment sécurisé d’un aquarium de l’établissement. En 2019, une petite fille de 3 ans confie à ses parents qu’une voix lui parle dans le baby-phone vidéo qu’ils ont installé dans sa chambre. Les parents s’aperçoivent que la caméra change toute seule d’orientation. Un pirate, qui avait pris le contrôle à distance de l’objet connecté, les observait et parlait à l’enfant pour l’effrayer quand elle était seule.
octobre 25, 2021
Élèves et écoles cyberattaqués aux USA
Le malheur des uns fait le bonheur des autres, stipule l’adage : les criminels profitent de la pandémie, sans scrupules. Le FBI mentionnait une augmentation significative des vols de données envers les étudiants, les enseignants comme les établissements entre août et septembre 2020 avec la cyberattaque du district de Clark, dans le Nevada. Ces attaques se perpétuent encore aujourd’hui, comme celle du district d’Hanover, en Pennsylvanie, début mars 2021, sans connaître la date de fin, si elle existe.
Dans un rapport du Bureau fédéral d’investigation (NDLR : Federal Bureau of Investigation, FBI) publié sur son site officiel, il est indiqué que les cybercriminels « volent et menacent de divulguer au public des données confidentielles sur les étudiants à moins que les institutions ne paient une rançon ». L’agence de sécurité américaine avait reçu des rapports depuis le début de l’année 2020, mais de janvier à juillet, le vol de données liées à l’enseignement en ligne avait représenté 28 % de toutes les attaques de ransomware signalées aux États-Unis.
Augmentation des cyberattaques aux États-Unis
L’augmentation entre août et septembre s’est produite dans plus d’une douzaine d’entités et, dans de nombreux cas, les établissements d’enseignement ont accepté de payer la « rançon ». L’agence pour la cybersécurité et la sécurité des infrastructures (CISA) et le Multi-State Information Sharing and Analysis Center (MS-ISAC) collaborent dans la lutte contre ce fléau.
Selon le FBI, les cybercriminels ralentissaient l’accès aux vidéoconférences pour forcer les verrous menant à des informations sensibles. Dans certains cas, ils « rendent les systèmes inaccessibles pour les fonctions de base, en utilisant des tactiques précédemment exploitées par les entreprises et l’industrie ».
Ils utilisaient des noms d’élèves absents de la classe pour participer à la vidéoconférence, racontaient des témoins à l’agence fédérale. « Les criminels harcelaient verbalement les élèves et les enseignants, leur montraient des images pornographiques et violentes, pour les faire chanter », raconte le journal mexicain Excelior le 13 décembre 2020. (Crédits : DR)
Puis, toujours selon l’agence d’investigation outre-Atlantique, ils incitaient les victimes à révéler des informations personnelles (mot de passe, informations bancaires, date de naissance, nom…) à travers un courriel piégé. Dans le but que les personnes ciblées se rendent sur un site Web compromis avec un logiciel malveillant. Ainsi les cinq variantes de ransomware les plus courantes identifiées par le FBI sont : Ryuk, Maze, Nefilim, AKO et Sodinokibi/REvil.
Attaques par déni de service
« Les opérateurs considèrent les écoles comme des cibles attrayantes, et ces types d’attaques devraient se poursuivre tout au long de l’année scolaire. Ces problèmes seront particulièrement difficiles pour les écoles qui font face à des limitations de ressources », ont averti la CISA et le FBI dans leur rapport du mois de décembre 2020. « Dans ces attaques, les opérateurs ciblent les systèmes d’information des écoles, ralentissant l’accès et, dans certains cas, rendant les systèmes inaccessibles pour les fonctions de base, y compris l’enseignement à distance. Adoptant des tactiques précédemment utilisées contre les entreprises et l’industrie, les acteurs du ransomware ont également volé – et menacé de divulguer au public – des données confidentielles sur les étudiants, à moins que les établissements ne paient une rançon », martèlent les agences.
Ce que confirme le 28 septembre 2020 l’article du Wall Street Journal : « Certains districts ont payé des rançons, le Journal ayant trouvé des exemples allant de 25 000 à plus de 200 000 dollars, décidant que la reconstruction des serveurs est plus coûteuse, et pourrait retarder l’apprentissage pendant des semaines. » Le comté de Clark, dans le Nevada, est le plus grand district scolaire touché par des cybercriminels durant la pandémie de Covid-19.
Les pirates auraient divulgué les numéros de sécurité sociale, les adresses et les informations sur la retraite des employés du district, ainsi que des fichiers sur les étudiants comprenant leurs noms, dates de naissance, adresses, écoles et même leurs notes, soulignait le site Fast Company, après avoir eu accès au rapport. (Crédits : Ethan Miller/Getty Images)
Selon les agences fédérales, les pirates continueront à utiliser tout un assortiment d’outils, des attaques par déni de service aux rançongiciels en passant par les intrusions via des technologies éducatives tierces (comme les suites d’apprentissage en ligne telles que Google Classroom). Les écoles sont des lieux où la sensibilisation aux risques est faible, où le financement de la cybersécurité est minimal. Selon le FBI, tous ces phénomènes devraient se poursuivre au rythme actuel, voire s’aggraver en 2021, souligne le site Gizmodo le 5 janvier 2021.
Le district d’Hanover ciblé
« Plus le passage à l’enseignement à distance se généralise, plus les attaques vont se multiplier […] », avait déclaré Dave Ring, chef de la section cyber du FBI, à ABC News. Le 2 mars 2021, lors d’une réunion virtuelle du conseil scolaire d’Hanover en Pennsylvanie, le surintendant Nathan Barrett déclarait que l’établissement avait subi une attaque des systèmes d’information, comme les voisins les plus proches.
Le complexe de la démesure est un district scolaire public de taille moyenne situé dans la Wyoming Valley, il s’étend sur environ 78 km².
Les criminels profitaient de la pandémie et de l’enseignement à distance pour opérer. « Le district a connu des problèmes intermittents d’Internet lundi et mardi », a déclaré Nathan Barrett. Le manque de surveillance et d’hygiène informatique, couplé aux objets connectés, suffisent parfois. La pandémie, et les mesures de confinement ont fait le reste.
(Crédits : Capture d’écran)
Le président du conseil scolaire, John Mahle, a contacté la Garde nationale de l’armée pour enquêter avec sa division des cyberopérations nationales « afin d’identifier les points problématiques », relatait Michael Buffer dans « The Citizens’ Voice ». Ils annonçaient en parallèle un plan hybride de cours en ligne et en présentiel dès le 22 mars 2021.
mars 17, 2021