Le 24 mars 2022, la police de Londres révèle avoir récemment arrêté sept personnes liées à une organisation d’opérateurs malveillants. L’inspecteur-détective Michael O’Sullivan de la police de la ville de Londres a déclaré que sept individus âgés de 16 à 21 ans avaient été interpelés dans le cadre d’une investigation sur un groupe de piratage. Tous ont depuis été libérés, a affirmé O’Sullivan, ajoutant que l’enquête était en cours. Un jeune homme de 16 ans, connu en ligne sous le pseudonyme de « White », a été accusé d’être l’un des chefs du gang Lapsus$ par la police londonienne.
L’adolescent qui vit avec sa mère à Oxford soupçonné d’appartenir à Lapsus$ et d’en être l’un des leaders. Les forces de l’ordre de Londres n’ont pas voulu dire s’il en faisait partie du groupuscule. L’ado qui d’après la BBC aurait amassé une fortune de 14 millions de dollars (12,73 millions d’Euros) a été « doxxé » par des opérateurs rivaux. Reconnue en ligne comme « White » ou « Breachbase », serait à l’origine de la prolifique équipe de pirates Lapsus$, qui selon les informations serait basée en Amérique du Sud.
L’adolescent, qui ne peut être nommé pour des raisons évidentes et juridiques, fréquente une école spécialisée à Oxford. L’enfant qui est autiste passait beaucoup de temps sur les ordinateurs, son père imaginait « qu’il jouait à des jeux ». (Crédits : TheOtherKev/Pixabay)
« Je n’avais jamais entendu parler de tout cela jusqu’à récemment. Il n’a jamais parlé d’un quelconque piratage, mais il est très bon en informatique et passe beaucoup de temps sur l’ordinateur », s’étonnait le père du garçon au micro de la BBC. La compagnie récente s’est illustrée sur les infections de NVidia, Okta, Microsoft, Samsung, mais auparavant le ministère de la Santé brésilienne et la société de presse Impresa, également au Brésil. « Nous avons son nom depuis le milieu de l’année dernière et nous l’avons identifié avant le doxxing », a déclaré AllisonNixon, responsable de la recherche à la société d’investigation en cybersécurité Unit 221B.
300 Bitcoins amassés
Les individus qui l’ont dénoncé ont également révélé son nom, adresse et ses photos sur les réseaux sociaux. Ils ont encore publié une biographie de sa carrière de pirate, en disant : « Après quelques années, sa valeur nette s’est accumulée pour dépasser largement les 300 Bitcoins… il est maintenant affilié à un groupe de ransomware connu sous le nom de Lapsus$, qui a extorqué et piraté plusieurs organisations. »
Mme Nixon affirme que les chercheurs l’ont suivi à la trace grâce à un flux d’activité lié à un flux presque ininterrompu des comptes en ligne du garçon. Elle assure que la piste a été suivie grâce aux erreurs commises par l’adolescent, qui n’a pas su couvrir ses traces. (Crédits : Kevin Snyman/Pixabay)
Lapsus$ existe depuis peu, mais c’était rapidement créée une réputation sulfureuse. Cette compagnie est l’une des bandes d’opérateurs informatiques les plus connues et les plus redoutées, après avoir réussi à pénétrer dans de grandes entreprises comme Microsoft, et s’en être vanté en ligne. Un péché d’orgueil ? « Unit 221B travaillant avec Palo Alto après avoir identifié l’acteur, l’a surveillé sur ses exploits tout au long de l’année 2021, envoyant périodiquement aux forces de l’ordre un avis sur les derniers crimes. »
Le groupe aurait fait son apparition au mois de décembre 2021. Ils ont commencé par cibler principalement des victimes de langue portugaise, telles que l’entreprise de médias Impresa et aussi le ministère de la Santé du Brésil. Mais il s’est fait remarquer par le vol de données chez de grandes compagnies que sont Nvidia, Samsung, Ubisoft, ou encore Microsoft. Dernier en date, Okta. L’entreprise a nié avoir été compromis et enquête sur les revendications d’une violation de données supposée.
Comme l’organisation de Ransomware-as-a-Service, LockBit 2.0, le groupe #Lapsus$ est prolifique. Il semble cependant se concentrer exclusivement sur le vol de données et l’extorsion. Okta Inc, dont les services d’authentification sont exploités par de nombreuses sociétés telles Fedex Corp, Moody’s Corp, Ymeris, Engie, Unify… pour donner accès à leurs réseaux, a déclaré mardi 22 mars 2022 qu’elle avait été attaquée par des « pirates informatiques » et que certains clients avaient pu être affectés.
En février 2022, Lapsus$ a volé 1 To de données à Nvidia, notamment des renseignements sensibles, du code source, des noms d’utilisateur et des mots de passe. Quelques jours plus tard, ils ont annoncé avoir volé 190 gigaoctets à Samsung, des informations sur le système d’authentification biométrique du smartphone Galaxy. (Crédits : capture d’écran)
Mardi 22 mars 2022, à 4 h 9, Lapsus$ revendiquait sur son canal Telegram, une cyberattaque contre Okta. Dans son message, le groupe précise ne pas avoir accédé à des bases de données de l’éditeur ni en avoir subtilisé, leur « intérêt s’est uniquement porté sur les clients d’Okta ». La firme américaine a publié sur son site Web qu’une « tentative infructueuse de compromission du compte d’un ingénieur de support client travaillant pour un prestataire tiers » s’était produite. Mais assure qu’il n’y a pas eu de brèche, que ses services « restent pleinement opérationnels », sans qu’aucune action corrective ne soit nécessaire du côté de ses clients. « Pour un service qui alimente les systèmes d’authentification de nombreuses grandes entreprises (et approuvé par FEDRAMP), je pense que ces mesures de sécurité sont plutôt médiocres […] », revendiquait Lapsus$.
Le 10 mars 2022, Ubisoft a publié une déclaration confirmant qu’elle avait subi une violation de ses systèmes. Quant à la firme américaine, elle indique « poursuivre l’investigation », notamment pour « identifier et contacter les clients qui pourraient avoir été contactés ». (Crédits : capture d’écran)
L’ampleur du méfait n’est pas connue, mais un piratage d’Okta pourrait avoir des conséquences majeures. En effet des milliers d’entreprises comptent sur cette société pour gérer l’accès à leurs propres réseaux et applications, comme en France, Foncia, Renault, Kiwi, BazarVoice… Okta a déclaré que la violation pourrait être liée à un incident antérieur survenu en janvier.David Bradbury, responsable de la sécurité chez Okta, confirmait par un billet que des assaillants ont bien eu la main sur l’ordinateur portable d’un ingénieur, entre les 16 et 21 janvier 2022. Mais que « l’impact potentiel sur les clients d’Okta est limité à l’accès dont disposent les ingénieurs de support. »
C’est une sensation désagréable, voire vexante. « Non, pas moi ?!? » Pourtant, s’il est une chose, hors mis devant la mort et au sein des cabinets d’aisances, où nous sommes tous égaux, c’est bien devant devant la malveillance, la malhonnêteté de tout un chacun. Elles sont multiples, car les canaux le sont avec. Courriel, SMS, impôts, signalement de contenu pédophile sur votre ordinateur, loterie…Comment déjouer les tentatives d’escroqueries ? Quelle conduite à tenir ? Que faire ?
Je viens vous conter une histoire qui m’est arrivée, il n’y a pas plus d’une huitaine. Créant une annonce pour la vente d’un véhicule d’occasion sur un site bien connu en France, Le Bon Coin pour ne pas le citer, des coordonnées sont visibles et consultables par n’importe quel quidam. Ce qui est plus que logique pour que les potentiels acquéreurs contactent le vendeur. Rien de choquant de prime abord, et pourtant. Une personne s’adresse au propriétaire dudit véhicule par message, une discussion s’engage, où l’individu demandant la confirmation du prix fixe de la voiture, il se décide de l’acheter sans même l’avoir vu. Dès cet instant, il faut mettre l’alerte en vigilance (première méfiance). Puis sous prétexte d’« être en déplacement durant deux semaines » l’homme se propose de régler la moitié de la somme par transfert (deuxième méfiance). Alors que le site le Bon Coin suggère un paiement sécurisé, afin d’éviter les arnaques.
La Poste n’autorise pas l’envoi d’argent en liquide par le biais de ses services. Les billets de banque et les pièces métalliques de monnaie font même partie des objets interdits par l’entreprise au même titre que les produits stupéfiants ou encore les articles de contrefaçon. (Crédits : capture d’écran)
Comme convenu, il transmet des documents par voie électronique avec un message. Puis en ces termes, tente de prouver sa, soi-disant, bonne foi :
Les malfaiteurs présumés fonctionnent à l’identique, jouant sur la corde sensible. Mais pour autant, il faut garder la tête froide, jamais la Banque Postale ne vous demandera de confirmer sur un numéro de téléphone mobile une transaction qui plus est pour renvoyer de l’argent. (Crédits : capture d’écran)
Soyons diligents, et naïfs. Je vérifie sur l’application d’une société de transferts de fonds de Western Union, via suivi de transfert. Tout me parait correct, car validé par la couleur verte de l’espoir. De ce fait, par un beau samedi matin, je me rends, tout guilleret, aux bureaux de la poste de Chauvigny, profitant par la même du marché qui s’y tient. Après avoir rempli en bonne et due forme les documents nécessaires au retrait d’argent, je les propose à la préposée.
Après avoir appâté le poisson, le pêcheur resserre petit à petit l’étau autour du coup de sa potentielle victime. (Crédits : capture d’écran)
Celle-ci après avoir vérifié les données, elle me tient ces propos : « Comment dire, il n’y a rien sur ce transfert, par un seul centime ». Une discussion s’instaure, expliquant le pourquoi du comment. Quelques dizaines de secondes plus tard, nous nous retrouvâmes tels des chalands à déambuler entre les fumets, criés et autres plaisirs, au milieu du marché. À cet instant, je me fais plus naïf que je ne suis, bien que l’humilité est un sentiment et un état d’esprit à user chaque jour. Je me permets d’envoyer une réponse pour connaître la réaction du soi-disant acquéreur.
Le message qui mit le feu aux poudres. (Crédits : capture d’écran)
C’est après l’avoir reçu que l’individu m’appelle avec un autre numéro de portable, sûrement un téléphone prépayé comme dans les films d’espionnage. Les échanges qui suivirent furent hauts en couleur. En premier lieu, il m’ordonna à mots couverts de le mettre en relation avec la personne propriétaire de ladite voiture. Je refusais catégoriquement, il commence à s’énerver, devenir désobligeant. Lorsque je lui explique que la préposée confirme l’absence de l’argent, il répond « vous n’avez pas suivi les instructions, et vous me traitez de voyou ? » Durant onze minutes, le monologue non du vagin, mais de la vente s’éternisa. « Puisque c’est comme ça, je vais retirer l’argent, tant pis pour vous », me dit-il pour me faire paniquer. N’étant pas dupe, je fis mime d’abonder dans son sens, et de respecter à la lettre lesdites instructions… que je ne fis pas, bien entendu. Désappointés, mais heureux d’avoir débusqué tels des furets, les malhonnêtes gens, ils ne nous restent qu’à regagner nos pénates, forts de cette expérience.
Tout semble normal. Le service client de Western Union, agréable au demeurant, me confirme que ce transfert n’est pas destiné à la France. Me laissant à demi-mot comprendre que cette méthode d’hameçonnage est fréquente et que la société en souffre, tous comme les consommateurs. (Capture d’écran)
L’après-midi, je me rends à Poitiers au tabac-presse Le Diplomate, situé à l’angle de la rue Carnot et celle du Petit Bonneveau, sachant que ces derniers proposent des transferts tels que celui cité. Sur l’application du commerçant, tout parait valide également. Il me conseille très justement de contacter le service client, et m’invite à l’informer des suites lorsque j’aurais plus de renseignements. Le dimanche, trépasse, après avoir dégusté pendant le dîner, un petit salé et ses légumes, suivis par une tarte aux pommes maison. Ce qui me conduisit à un lundi plein d’enthousiasme. Je décide donc de me rendre à la grande poste, tout près du commissariat de Police de la cité pictave, rue de la Marne. Je suis au fait que le transfert ne contient pas un kopeck, ou du moins pas un qui me soit destiné. Patientant au sein du hall, un préposé me reçoit. Comme tout un chacun, l’employé de la Banque Postale m’indique qu’il ne saisit pas comment cela est possible de voir la supposée transaction validée, et invalidée au même instant. Je quitte la personne et l’ouvrage architectural. J’apprendrais que la transaction existe réellement, mais pas vers un pays situé à côté de la France.
L’attestation d’envoi qui n’est qu’un faux grossier. Une personne de confiance m’invite à observer l’impression entre le Oui et le Non, le fameux numéro de téléphone pour valider le transfert, les frais comme la loi inexistante, qui se veut être une pâle imitation de la Loi n° 2012-354 du 14 mars 2012, bref… (Crédits : capture d’écran)
Comment déjouer les arnaques ?
Attention, tout ce qui est trop beau, est vraisemblablement une imposture, une escroquerie ou une tentative. Un I-Phone 13 Pro Max à 500 euros est un exemple, tout comme le Galaxy Z Fold3 5G à 800 €, ou encore l’OPPO Find X3 Pro 5G à 600 €, fuyez si cela est une annonce d’un vendeur en ligne ! Soyez sur vos gardes ! Demandez à quelqu’un de confiance, ou sur l’Internet dans un moteur de recherche mentionnez les coordonnées fournies, tel le numéro de téléphone. S’il vous apparaît de nombreuses occurrences pour une imposture, c’est sûrement le cas. Des sites référencent les arnaques par le biais des personnes à travers la France, comme par exemple Signal Arnaques. Pareil, lorsque vous recevez un courriel des impôts pour un remboursement, taxe d’habitation, règlement d’impayé… contactez-les… vous serez fixé et rassuré. « Si effectivement une action est requise de votre part vis-à-vis de l’administration fiscale, vous retrouverez cette information dans votre espace privé sur le site www.impots.gouv.fr. De plus, si vous aviez à bénéficier d’un remboursement, celui-ci se ferait automatiquement. Il ne transiterait jamais par votre carte bancaire, mais serait directement versé sur le compte que vous avez enregistré auprès des services fiscaux », assure la DGFIP. Il existe aussi l’arnaque à la loterie, au colis, à l’amour, au signalement de contenu pédophile sur votre ordinateur, au logement, à l’emploi, du scamming.
ATTENTION , grosse arnaque , j’ai reçu mon pli par la poste comme indiqué. J’ai payé la modique somme de 755 € oui vous avez bien compris !!!!! Je me suis connecter avec le code de la carte, voila et maintenant j’attends, j’ai tous simplement perdu 755 € alors faite gaffe
Une victime
Comprenant sans coup férir que cette démarche est de l’arnaque, ou plus véritablement de la tentative d’escroquerie, j’ai contacté Western Union. La personne du service client m’a confirmé que sans transfert d’argent, il ne portait pas les faits à la connaissance de la justice. Que « pour les transferts sans problème, mais qu’il ne faut jamais régler ou se faire payer une somme par ce moyen ». Là où le bat blesse est la somme supplémentaire au montant attendu. Après avoir joint son complice présumé (le directeur fictif d’une Banque Postale) par téléphone, il demande pour assurer la transaction, et la sécuriser de reverser les 180 €. Gaussons-nous, car notre bonhomie entre en jeu. Une fois que vous avez réalisé, en toute bonne foi, le « remboursement » du trop-perçu, vous êtes victime d’une escroquerie. Il est déjà trop tard. Demandez un chèque de banque en horaires d’ouverture, cela vous permettra de vérifier la véracité et solvabilité auprès de la banque concernée.
Quelle conduite à tenir ?
J’ai effectué un signalement sur le portail dédié, et cela va de soi, sur le site marchand. Vous souhaitez déposer plainte ? Plusieurs possibilités, rendez-vous au commissariat de police ou à la brigade de gendarmerie dont vous dépendez, ou adressez votre plainte par écrit au procureur de la République du tribunal judiciaire de votre domicile.Vous pouvez également déposer une pré-plainte sur le site du ministère de l’Intérieur. Dans les faits que l’on peut signaler, il existe les catégories suivantes :
Pédophilie ou corruption de mineur sur Internet
Incitation à la haine raciale ou provocation à la discrimination de personnes en raison de leurs origines, de leur sexe, de leur orientation sexuelle ou de leur handicap
Menaces ou incitation à la violence
Trafic illicite (stupéfiants, armes, etc.)
Mise en danger des personnes
Incitation à commettre des infractions
Spam
Injure ou diffamation
Escroquerie
Terrorisme : menace ou apologie
« Si vous êtes témoin ou victime de faits nécessitant une intervention immédiate de services de police ou de secours, par exemple : ne agression, un accident, un incendie, vous ne devez pas utiliser ce site, mais composer le 17 sur votre téléphone », rappellent-ils. (Crédits : Gouv.fr)
Pour rappel l’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. L’escroquerie, comme la tentative est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Les peines sont portées à dix ans d’emprisonnement et à 1 000 000 euros d’amende lorsque l’escroquerie est commise en bande organisée. « Prenez soin de vous, et faites très attention, les malfaiteurs n’ont aucun scrupule. »
La population mondiale est de plus en plus connectée, tout du moins, par les objets. Lors des trois premiers mois de 2020, tandis que les sociétés étaient figées, les ventes de montres « intelligentes » progressaient de 20 % au niveau de la planète, sans discontinuer. Au deuxième trimestre 2021, les livraisons s’envolent de 47 % selon les chiffres de Strategy Analytics passant de 12, 3 à 18,1 millions d’unités écoulées. Un rythme que les industriels n’avaient pas connu depuis 2018. Dans ce même temps, plus de 61 millions d’enregistrements de données fuitaient.
En premier lieu, « Rendez à César ce qui est à César, et à Dieu ce qui est à Dieu ». Cet apophtegme (du grec ancien ἀπόφθεγμα / apóphthegma : ” précepte, sentence “) est une parole mémorable ayant valeur de maxime, soit une formule exprimant une idée générale. C’est pourquoi elle est une sorte d’adage auquel on confère une autorité particulière en l’attribuant, de façon exacte ou apocryphe, à une personne. Le sujet de cet article fait suite à un échange avec Fernanda V., une lectrice de « Libr’Expression », concernant un papier sur les objets connectés : « Je voulais le partager avec vous, car l’article nous apprend l’importance de se méfier de nos données et je pense qu’il serait très utile pour vos lecteurs aussi, si vous décidez de le partager avec eux. »
Pour apprécier l’ampleur de la fuite, et des possibles autres, il est nécessaire de mesurer le marché mondial des objets connectés que sont les montres. Selon les dernières recherches de Strategy Analytics, les expéditions internationales bondissaient de 47 % par an pour atteindre les 18 millions d’unités au deuxième trimestre 2021. L’Apple Watch a conservé la première place avec 52 % des parts de marché mondial des tocantes « intelligentes », Samsung la deuxième (11 %) et Garmin la troisième (8 %). « Les ventes en ligne d’appareils axés sur le fitness qui contribuent à soutenir les soins de santé personnels restent populaires et constituent le principal moteur du boom des smartwatchs », explique Steven Waltzer, analyste principal au sein de Strategy Analytics. La période due au SARS-CoV-2 a modifié la perception des personnes quant à leurs corps. Ainsi, l’Apple Watch Series 6 (avant l’arrivée de sa grande sœur) est le modèle le plus populaire pour de multiples raisons et « d’un portefeuille croissant d’applications de santé et de fitness », justifie Neil Mawston, directeur exécutif chez Strategy Analytics.
« Nous nous attendons à voir 20 milliards d’objets connectés à Internet d’ici la fin de l’année 2020. […] comme les distributeurs automatiques, les moteurs d’avion, les voitures connectées… », prophétisait en 2019 Mark Hung, vice-président en charge des études au cabinet d’analyse Gartner (Crédits : roxanawilliams1920/Pixabay)
L’Internet des objetsest conséquent : enceintes, ampoules, thermostats, téléviseurs, réfrigérateurs, jouets pour adulte ou enfant, caméras, alarmes… Comme les montres dites intelligentes qui connaissent un plébiscite fulgurant. Ce succès profite avant tout à Apple dont les expéditions annuelles sont en hausse de 46 % avec 9,5 millions d’unités. La marque à la pomme revendique ainsi une part écrasante de 52,8 %. Le marché planétaire des chronographes connectés a crû à un rythme effréné de 53,5 % par an, en volume, entre 2014 et 2020. Si l’Amérique du Nord représente le premier marché régional pour ce produit avec plus d’un tiers (35 %) de la consommation mondiale, « c’est en Asie-Pacifique que la croissance devrait être la plus forte dans les années à venir ». La demande asiatique est alimentée par l’accès généralisé aux smartphones et l’utilisation massive de services digitaux. Le marché français est lui aussi en profonde hausse, mais dans une bien moindre mesure que ses voisins britannique, allemand ou italien. En effet, le taux de pénétration des montres connectées en France est le plus bas des quatre pays cités précédemment.
Il existe un débat sur la façon dont les trackers de fitness ou les wearables IOT peuvent être considérés comme des dispositifs médicaux. Question primordiale, car le marché mondial de la gestion de la santé devrait atteindre 46,7 milliards de dollars américains d’ici 2026. (Crédits : fancycrave1/Pixabay)
61 053 956 enregistrements exposés
Une base de renseignements non protégée exhibait 61 053 956 enregistrements (17, 6 Gb) contenant des données provenant de trackers de fitness et de « wearables » (technologie portable comme un vêtement, une montre…), selon un rapport établi par le chercheur en sécurité Jeremiah Fowler, sur WebsitePlanet. Dans un échantillon limité d’environ 20 000 enregistrements, Fowler indique que parmi les principaux trackers de santé et de fitness apparaît celui de Fitbit (racheté par Google pour 2,1 milliards en 2021) comme source 2 766 fois, et les instances de ce qui semble être l’Healthkit d’Apple, 17 764 fois. Ce dernier et son équipe de recherche constataient que de nombreux enregistrements exposés contenaient des informations telles que :
Le prénom
Le nom
Le pseudonyme
La taille
La date de naissance
Le sexe
La géolocalisation
L’identifiant de géolocalisation
Le relevé cardiaque
Le saturation en oxygène
Le type de sport
Le profil-utilisateur
Les données relatives au sommeil
Les statistiques liées à la vitesse de déplacement
Le traceur lui-même
Le poids de l’utilisateur
Après une fouille minutieuse, de nombreuses références se rattachaient à « GetHealthApp », une société basée à New York qui offre une solution unifiée pour accéder aux informations de santé et de bien-être provenant de centaines de wearables, d’appareils médicaux et d’applications. « J’ai immédiatement envoyé une notification de divulgation responsable de mes découvertes et j’ai reçu une réponse le lendemain me remerciant pour la notification et confirmant que les données exposées avaient été sécurisées », notifie le chercheur. Les différents dispositifs de suivi de la forme physique sont devenus monnaie courante. Approximativement 21 % des adultes américains disent enfiler fréquemment une montre « intelligente » ou un tracker de fitness, selon une étude de Pew Research réalisée en 2019 aux États-Unis.
Alors que 2020 commençait, avec les traditionnelles résolutions du Nouvel An, environ un adulte américain sur cinq (21 %) stipule régulièrement porter une montre « intelligente » ou un tracker de fitness portable, selon l’enquête du Pew Research Center menée du 3 au 17 juin 2019. (Crédits : DR)
Innocent aux mains pleines
Dans son rapport, Fowler note que de multiples trackers de fitness sont liés à des profils où les utilisateurs sont encouragés à saisir des informations personnelles. Cela facilite grandement les méfaits futurs des différentes personnes derrière des codes malveillants. Chaque détail est une mine de donnée, pour identifier l’usager. « La plupart des utilisateurs de wearables pensent qu’aucun cybercriminel ne s’intéresse au nombre de pas qu’ils font ou à la durée de leur sommeil, mais c’est une erreur d’ignorer comment vos données sont utilisées ou partagées. Toutes les données ont de la valeur et, à mesure que la technologie des wearables se développe, les types et la précision des données collectées sur les utilisateurs se développent également », écrit-il.
Environ quatre Américains sur dix entérinent l’usage des indications desdits trackers de fitness pour la recherche sur les maladies cardiaques. Auxquels convient-il d’ajouter les 22 % qui ne se prononcent pas, car « qui ne dit mot consent ». Donc, près de deux tiers des Américains acceptent que leurs données soient utilisées. (Crédits : DR)
En mai 2016, un audit d’objets connectés avait été réalisé dans le cadre du « Sweep day ». La Commission nationale informatique et libertés (CNIL) affichait un constat pour le moins préoccupant :
59 % ne fournissaient pas une information claire et complète sur la collecte et les conditions d’exploitation des données à caractère personnel des utilisateurs
68 % ne donnaient aucune information relative aux conditions de stockage des données
72 % n’informaient pas les utilisateurs des modalités de suppression de leurs données du dispositif connecté
38 % ne fournissaient pas de coordonnées permettant aux utilisateurs de se renseigner sur les modalités de traitement de leurs données à caractère personnel
Pour certains, ce sont autant de portes laissées ouvertes aux personnes malveillantes. Tous sont concernés, le système d’information des entreprises et administrations, infrastructures publiques (eau, électricité, gaz, télécoms, transports, hôpitaux, administrations…)… tout système électronique en réseau est désormais susceptible d’être infecté.
Avant l’achat, renseignez-vous sur l’objet connecté
Modifiez les mots de passes par défaut de vos objets connectés
Mettez à jour sans tarder vos objets connectés et les applications associées
Protégez vos informations personnelles
Vérifiez les paramètres de sécurité de vos objets connectés et de leurs applications
Éteignez systématiquement vos objets connectés lorsque vous ne les utilisez pas
Mettez à jour les appareils raccordés à vos objets connectés
Sécurisez votre connexion Wi-fi
Limitez l’accès de vos objets connectés aux autres appareils électroniques ou informatiques
Supprimez vos données et réinitialisez votre objet lorsque vous ne vous en servez plus
L’agence nationale de la sécurité des systèmes d’information (ANSSI) a mis en ligne un document à télécharger. Si vous doutez encore, voici deux exemples : en 2018, un casino s’est fait pirater la base de données de ses plus gros clients. Les pirates ont réussi à y accéder en passant par le thermomètre connecté insuffisamment sécurisé d’un aquarium de l’établissement. En 2019, une petite fille de 3 ans confie à ses parents qu’une voix lui parle dans le baby-phone vidéo qu’ils ont installé dans sa chambre. Les parents s’aperçoivent que la caméra change toute seule d’orientation. Un pirate, qui avait pris le contrôle à distance de l’objet connecté, les observait et parlait à l’enfant pour l’effrayer quand elle était seule.
