Un chercheur exploite une faille Ecovacs pour accéder à 7 000 aspirateurs Deebot à distance

Imagine-toi en train de jouer avec un robot aspirateur et un contrôleur PS5, et découvrir que tu contrôles soudainement 7 000 appareils similaires à travers le monde. C’est exactement ce qui est arrivé à Sammy Azdoufal, un ingénieur logiciel, qui a mis au jour une faille de sécurité majeure dans les robots aspirateurs DJI Romo. Cet incident soulève des questions cruciales sur la sécurité des appareils connectés que nous utilisons au quotidien.

En cherchant à piloter son propre appareil de manière ludique, Azdoufal a accidentellement découvert qu’il avait accès à une armée de robots aspirateurs. Cette découverte a mis en lumière les risques potentiels que représentent les objets connectés, surtout quand ils deviennent des outils de surveillance involontaires.

Comment Sammy Azdoufal a découvert la faille

L’histoire commence avec Azdoufal, qui, en utilisant un assistant de codage basé sur l’IA, a voulu contrôler son robot aspirateur DJI Romo avec une manette de PlayStation 5. En bidouillant un peu, il a réussi à comprendre comment le robot communiquait avec les serveurs de DJI. Mais au lieu d’accéder uniquement à son propre appareil, il s’est retrouvé avec les clés de 7 000 autres aspirateurs à travers 24 pays.

Le hic, c’est que les serveurs de DJI ne vérifiaient pas correctement les jetons d’authentification, ce qui a permis à Azdoufal de voir et de contrôler d’autres appareils. Il pouvait accéder aux flux vidéo des caméras embarquées, aux microphones, aux cartes des maisons et même aux emplacements approximatifs des appareils.

Heureusement, Azdoufal n’a pas exploité cette faille pour nuire. Au lieu de cela, il a signalé le problème à DJI, qui a rapidement corrigé la faille. Mais cet épisode montre à quel point les appareils connectés peuvent être vulnérables, surtout quand leurs systèmes de sécurité laissent à désirer.

En plus de la faille d’authentification, le stockage des données en texte clair sur les serveurs a amplifié le problème, rendant les informations facilement accessibles à quiconque pourrait s’introduire dans le système.

Les risques de sécurité liés aux appareils connectés

Les objets connectés, souvent appelés IoT, ont envahi nos maisons avec la promesse de rendre notre vie plus facile et plus connectée. Cependant, chaque appareil connecté représente aussi un point d’entrée potentiel pour des cyberattaques. Quand on parle de robots aspirateurs capables de cartographier nos maisons, le risque est encore plus grand.

Les experts en cybersécurité soulignent que les failles dans ces appareils peuvent être exploitées pour des activités malveillantes. Par exemple, un pirate pourrait potentiellement utiliser un robot aspirateur pour espionner une maison, recueillir des informations sensibles, voire contrôler d’autres appareils connectés de la maison.

La situation est d’autant plus préoccupante que de nombreux fabricants d’appareils IoT ne priorisent pas toujours la sécurité. En effet, l’ajout de nouvelles fonctionnalités et la réduction des coûts de production prennent souvent le pas sur la protection des données des utilisateurs.

De plus, avec l’essor des assistants de codage basés sur l’IA, même ceux qui ne possèdent pas de compétences techniques avancées peuvent exploiter des failles de sécurité, comme l’a montré l’incident avec Azdoufal.

Comparaison avec d’autres incidents de sécurité IoT

Ce n’est pas la première fois qu’un tel incident se produit. On se souvient de l’affaire des caméras de surveillance Ring, où des pirates avaient réussi à accéder aux flux vidéo de plusieurs foyers. Cela avait provoqué un tollé général et soulevé des questions sur la sécurité des dispositifs de surveillance domestiques.

Un autre exemple marquant est celui des thermostats connectés qui, à un moment donné, ont été utilisés pour mener des attaques DDoS massives en 2016. Ces attaques avaient perturbé de nombreux services en ligne, démontrant le pouvoir destructeur des appareils IoT lorsqu’ils sont compromis.

Ces incidents mettent en lumière la nécessité d’une meilleure réglementation et de normes de sécurité plus strictes pour les appareils connectés. Sans cela, les consommateurs restent vulnérables à des intrusions potentielles dans leur vie privée et leur sécurité.

Les fabricants doivent prendre conscience que la sécurité ne doit pas être une option, mais une priorité absolue. Chaque appareil introduit dans une maison doit être sécurisé dès sa conception pour éviter de telles mésaventures.

Les implications pour l’avenir des appareils intelligents

Alors que de plus en plus de foyers adoptent des appareils intelligents, la question de la sécurité devient cruciale. Les utilisateurs doivent être conscients des risques associés à ces technologies et prendre des mesures pour protéger leur vie privée.

Des experts comme Rodney Brooks, cofondateur de iRobot, ont déjà mis en garde contre les dangers des appareils connectés. Selon lui, nous risquons de créer un environnement où la surveillance devient omniprésente, à moins que des mesures de sécurité robustes ne soient mises en place.

L’incident avec Azdoufal pourrait être un catalyseur pour un changement dans l’industrie. Les fabricants pourraient être poussés à investir davantage dans la sécurité et à fournir des mises à jour régulières pour corriger les vulnérabilités dès qu’elles sont découvertes.

En fin de compte, il est impératif que les consommateurs soient informés et restent vigilants sur les appareils qu’ils introduisent chez eux. Le développement d’appareils intelligents doit s’accompagner d’une responsabilité accrue en matière de sécurité.

DJI et la réponse aux incidents de sécurité

Face à la découverte de cette faille critique, DJI a réagi rapidement pour corriger le problème. La réponse du fabricant a été saluée par de nombreux experts, qui ont noté l’importance d’agir promptement pour éviter des abus potentiels.

La société a déployé des mises à jour logicielles pour tous les appareils concernés, rendant ainsi inutile toute action de la part des utilisateurs pour sécuriser leurs appareils. Mais cela soulève aussi la question de savoir pourquoi une faille aussi évidente n’a pas été détectée plus tôt.

DJI a promis de renforcer ses protocoles de sécurité et de travailler en étroite collaboration avec des experts en cybersécurité pour éviter que de tels incidents ne se reproduisent à l’avenir. Cependant, cela souligne la nécessité pour les fabricants de tester rigoureusement leurs produits avant de les commercialiser.

Il est crucial que l’industrie prenne au sérieux les leçons apprises de cet incident. La sécurité des appareils connectés doit être une priorité dès le début du processus de conception pour garantir la confiance des consommateurs dans ces technologies.