Frigos connectés, robots de ménage, box : quand nos objets du quotidien ouvrent toutes les portes aux pirates

L'épisode des frigos piratés dans des supermarchés ces derniers jours vient rappeler à quel point tous nos objets connectés sont vulnérables. On en compte une dizaine, en moyenne par foyer en France. Mais, ils sont présents aussi et de plus dans les entreprises, les exposant encore plus aux cyberattaques.

Une cyberattaque contre des frigos connectés a récemment frappé plusieurs supermarchés, provoquant la détérioration de denrées alimentaires et des pertes financières importantes. Derrière ce fait divers technologique se cache une réalité plus inquiétante. Les objets connectés sont potentiellement l'une des principales portes d'entrée des cyberattaques. Vous pensez être à l'abri ? Chaque objet connecté peut être piraté.

Réfrigérateurs de supermarché, caméras de surveillance pour le domicile ou pour un commerce, baby phones, aspirateurs robots, box internet ou encore montres connectées. Tous ces équipements ont un point commun : ils sont reliés à Internet. Et pour les hackers, c'est une petite porte ouverte directement chez vous.

La récente cyberattaque visant des systèmes frigorifiques de grandes surfaces n'a pas surpris les experts en cybersécurité. En prenant le contrôle de boîtiers de gestion à distance, des pirates sont parvenus à modifier les paramètres de réfrigération et à provoquer une montée en température pour endommager des stocks alimentaires entiers.

Les réfrigérateurs industriels modernes sont désormais pilotés par des contrôleurs connectés. "Historiquement, ces équipements étaient isolés. Aujourd'hui, ils sont reliés à Internet pour permettre la télémaintenance et le diagnostic à distance", explique Rémi Badonnel, expert en cybersécurité, enseignant-chercheur à TELECOM Nancy (Lorraine INP / Université de Lorraine). Le boîtier visé par les attaquants présentait une vulnérabilité connue. Les pirates ont pu prendre le contrôle des installations, déclencher des cycles de dégivrage et provoquer une hausse de température qui a rendu les produits impropres à la consommation.

Le cas des frigos de supermarchés n'est pas isolé. Aujourd'hui, un foyer français compte en moyenne une dizaine d'objets connectés : enceintes, caméras, alarmes, assistants vocaux ou robots domestiques. "Les objets connectés disposent de ressources limitées. Ils embarquent rarement tous les mécanismes de protection présents sur un ordinateur ou un smartphone". Quand un ordinateur est compromis, ce sont essentiellement des données qui sont menacées. Quand un objet connecté est piraté, les conséquences peuvent toucher directement la vie quotidienne. L'exemple le plus parlant reste celui des caméras connectées. Elles sont là pour surveiller votre domicile mais elles permettent à des hackers de vous observer.

L'erreur la plus fréquente est de conserver les identifiants fournis par défaut lors de l'installation. Parfois l'installateur lui-même n'évoque pas cette nécessité de modifier le mot de passe. Ou encore les victimes ne savent même pas que leur installation nécessite un mot de passe. Et le mot de passe constructeur par défaut est souvent le même.

Depuis plusieurs années, des sites spécialisés répertorient des milliers de flux vidéo captés sur des caméras de surveillance connectées partout dans le monde, accessibles librement sur Internet faute de configuration. On y entre chez les gens mais aussi dans des commerces. Ce qui devait être une sécurité devient une vulnérabilité. Pour un cambrioleur, ces images valent de l'or.

Dans certains cas, ces objets connectés peuvent constituer des armées d'appareils piratés. "Ils envoient tous des requêtes vers une même cible au même moment. La surcharge provoque alors un déni de service : le site ou le serveur devient inaccessible". Rémi Badonnel mentionne un cas précis, celui d'une attaque informatique majeure qui a paralysé une partie du Web américain pendant plusieurs heures en octobre 2016. Plus récemment, la cyberattaque paralysant le site internet de vote pour la primaire socialiste en France interroge.

L'affaire des frigos montre aussi une évolution de la menace. Les cyberattaques ne visent plus uniquement les grandes entreprises stratégiques. Elles s'attaquent désormais aux équipements industriels, aux chaînes logistiques et aux infrastructures critiques. Le risque n'est plus seulement le vol de données. C'est également la perturbation de services essentiels. "Les objets connectés permettent de relier le monde numérique au monde physique. Dès lors, les impacts peuvent devenir très concrets."

Les experts redoutent notamment des scénarios d'attaques coordonnées visant simultanément plusieurs secteurs : transport, hôpitaux, énergie. Un scénario qu'on croirait sortit tout droit d'un film catastrophe, mais qui fait désormais partie des hypothèses étudiées par les experts en cybersécurité. Le profil des attaquants n'est pas toujours très évident. Dans le cas des frigos, il n'y a eu à ce jour aucune revendication. "Dans un contexte géopolitique tendu, on peut aussi penser à des mercenaires". Leur but étant d'apporter, de créer des événements de déstabilisation.

Les véhicules modernes embarquent eux aussi des dizaines de systèmes connectés. "Par le passé, plusieurs chercheurs ont démontré qu'il était possible d'interagir à distance avec certaines fonctions critiques de véhicules insuffisamment protégés", explique Rémi Badonnel. Les constructeurs ont depuis renforcé leurs dispositifs de sécurité, notamment en séparant les fonctions de conduite des services connectés destinés aux utilisateurs. Mais la multiplication des fonctionnalités à distance ne leur facilite pas la tâche. Verrouillage des portes, géolocalisation, mises à jour logicielles, collecte de données : chaque nouveau service ouvre potentiellement une nouvelle surface d'attaque.

Et l'intelligence artificielle dans tout cela ? Dans une récente dépêche l'AFP écrit : "Des modèles d'intelligence artificielle (IA) seront bientôt en mesure d'implanter seuls une version d'eux-mêmes sur des objets connectés comme un aspirateur ou un four, prévient la start-up Anthropic. En créant une copie de lui-même sur un appareil connecté, un modèle bénéficierait des capacités de traitement de l'objet grâce aux puces directement installées. Il échapperait également à une intervention humaine sur le modèle d'origine. Nous n'avons pas encore observé (d'IA capable) de se reproduire spontanément et totalement", reconnaît Anthropic, "mais les agents (des IA exécutant des tâches de façon autonome) maîtrisent de mieux en mieux les étapes de la chaîne."

Pour les particuliers comme pour les entreprises, les règles de base sont les mêmes. La première de toutes : changer immédiatement les mots de passe par défaut. Ensuite, installer les mises à jour régulièrement. Pour Rémi Badonnel à cela il faut ajouter : "Acheter des produits de marques reconnues. Ces fabricants assurent généralement un meilleur suivi logiciel et corrigent plus rapidement les failles. Les produits vendus à quelques euros sur certaines plateformes sont souvent très peu fiables de ce point de vue. Limiter l'exposition à Internet. Pare-feu, filtrage des accès ou VPN permettent de réduire fortement les risques, particulièrement dans les entreprises." Ce n'est "pas simple pour une box internet par exemple mais cela reste possible", explique Rémi Badonnel.

Pour les particuliers, il existe aussi un site qui renseigne et propose 10 bonnes pratiques essentielles à adopter pour assurer votre cybersécurité.

Avec ses étudiants Rémi Badonnel travaille justement sur tous ces objets connectés pour créer des tests pour trouver ces failles. Si vous avez ce type d'objet à donner pour la science, n'hésitez pas à les proposer sur le site de TELECOM Nancy. La grande collecte est ouverte jusqu'au 16 Novembre.