Des « défauts de sécurisation élémentaires » : suite au piratage des frigos, des consignes de base ignorées depuis trop longtemps
Devant le Sénat, Vincent Strubel, le directeur général de l'Anssi, a attribué le piratage des frigos de supermarchés à des « défauts de sécurisation élémentaires ». Il écarte la piste des failles publiées par des chercheurs ces deux dernières années..
Un récent piratage a ciblé des réfrigérateurs et autres appareils électroménagers connectés, révélant des vulnérabilités majeures dans leur sécurisation. Ces objets, souvent appelés objets connectés ou IoT (pour Internet of Things), sont des appareils du quotidien capables de se connecter à internet pour offrir des fonctionnalités avancées, comme le contrôle à distance ou les mises à jour automatiques. Selon les experts cités dans l'article, les failles de sécurité exploitées lors de cette attaque étaient des défauts de sécurisation élémentaires, c'est-à-dire des erreurs de base dans la protection des données ou l'accès aux appareils, comme l'absence de mots de passe par défaut ou des protocoles de communication non chiffrés. Ces lacunes permettent aux pirates d'infiltrer les appareils et, dans certains cas, d'en prendre le contrôle à distance.
L'article souligne que les recommandations de base en matière de cybersécurité, pourtant connues depuis des années, ne sont pas appliquées par les fabricants ou les utilisateurs. Parmi ces consignes figurent l'utilisation de mots de passe robustes, la mise à jour régulière des logiciels ou encore la désactivation des fonctionnalités inutiles comme le remote access (accès à distance) lorsque celui-ci n'est pas nécessaire. Les experts interrogés estiment que ces négligences persistent depuis trop longtemps, malgré les alertes répétées des autorités en cybersécurité. En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information), qui est l'organisme public chargé de protéger les systèmes informatiques contre les cybermenaces, a maintes fois rappelé l'importance de ces mesures, mais leur application reste insuffisante.
Les conséquences d'un tel piratage vont au-delà de la simple intrusion dans un appareil. Les pirates pourraient exploiter ces failles pour intégrer les frigos ou autres objets connectés dans des réseaux de botnets (réseaux d'appareils infectés contrôlés à distance par des cybercriminels), utilisés ensuite pour lancer des attaques massives, comme des DDoS (Distributed Denial of Service), qui consistent à saturer un service en ligne avec un trafic excessif. Par exemple, en 2016, l'attaque Mirai avait infecté des milliers d'objets connectés pour mener une attaque DDoS d'une ampleur inédite. Dans le cas présent, les experts craignent que des appareils du quotidien, comme les réfrigérateurs, ne deviennent des cibles privilégiées pour des activités malveillantes, avec des répercussions potentielles sur la vie privée des utilisateurs ou même sur des infrastructures critiques.
L'article met en lumière les responsabilités partagées entre les fabricants d'objets connectés, les régulateurs et les utilisateurs. Les fabricants sont pointés du doigt pour leur manque de rigueur dans la conception des appareils, souvent conçus avec des coûts réduits au détriment de la sécurité. Les régulateurs, comme l'ANSSI en France ou l'Union européenne avec des textes comme le RGPD (Règlement général sur la protection des données), ont un rôle à jouer pour imposer des normes strictes. Enfin, les utilisateurs ont aussi leur part de responsabilité en ne prenant pas le temps de configurer correctement leurs appareils ou en ignorant les alertes de sécurité. Une prise de conscience collective est donc nécessaire pour éviter de nouveaux incidents similaires.
Pour limiter les risques, plusieurs mesures peuvent être mises en place. Les utilisateurs sont encouragés à changer les mots de passe par défaut des appareils connectés, à désactiver les fonctionnalités inutiles et à installer les mises à jour logicielles dès qu'elles sont disponibles. Les fabricants, quant à eux, devraient intégrer des protocoles de sécurité dès la conception des produits (*security by design*) et fournir des mises à jour régulières pour corriger les vulnérabilités. Les régulateurs pourraient renforcer les contrôles et sanctionner les entreprises qui ne respectent pas les normes de sécurité. Enfin, des campagnes de sensibilisation du public, comme celles menées par l'ANSSI, sont essentielles pour éduquer les utilisateurs aux enjeux de la cybersécurité.
