AVERTISSEMENT - Quand les objets connectés deviennent des bombes à retardement !

Aujourd'hui, nos vies sont entourées d'appareils intelligents — bracelets de fitness, téléviseurs intelligents, réfrigérateurs intelligents, assistants vocaux comme Alexa et même ampoules intelligentes ! Tout cela fait partie du Internet des objets (IoT) — un réseau d'appareils qui peuvent se connecter à internet et les uns aux autres. Bien qu'ils facilitent la vie, la plupart des gens ne réalisent pas que ces appareils peuvent être un risque énorme de cybersécurité.

Bien que la sécurité affecte les entreprises dans leur ensemble, les ingénieurs concepteurs doivent inclure des mesures de sécurité dans leurs produits, a déclaré Johan Pieterse, responsable informatique et sécurité chez Racing Post.

Alors que le nombre de cyberattaques explose, des experts en sécurité se sont réunis la semaine dernière à Infosecurity Europe à Londres pour discuter de la manière de contrer et de protéger contre des pirates informatiques de plus en plus puissants.

“Lors de la conception d’un nouveau produit, […] intégrez la sécurité au processus”, a insisté Pieterse.

Cependant, Amichai Shulman, cofondateur et directeur technique du spécialiste des logiciels de cybersécurité Imperva, estime que les affaires doivent passer en premier. “Conduisez d’abord les affaires, réfléchissez ensuite à la manière de les défendre”, a-t-il soutenu. “À un moment donné, la sécurité devient perturbatrice pour la conception car elle ajoute trop de code.”

Adam Brown, responsable des solutions de sécurité chez Synopsys, n’est pas d’accord. “Il est plus efficace de planifier la sécurité dès le début du processus.”

Quelle que soit votre décision, il est indéniable que la sécurité dans l’électronique ne peut plus être reléguée au second plan avec le nombre croissant d’appareils connectés.

“Il n'y a actuellement pas assez de protection”, a déclaré Igal Zeifman, directeur d'Incapsula chez Imperva. “La plupart des appareils IoT sont ouverts à l’accès, non pas parce qu’il s’agit d’une faille de sécurité, mais parce qu’ils sont conçus de cette façon.”

Synopsys a testé la résistance à la sécurité d'un certain nombre d'appareils connectés – avec des résultats alarmants. “Nous avons réussi à pirater des stimulateurs cardiaques et des pompes à insuline”, a déclaré Brown. “39 % de tous les piratages connus dans le domaine médical concernent le contrôle des appareils. C'est inquiétant.”

Zeifman admet que la plupart des appareils nécessitent un accès à distance, mais a déclaré que l'application de certaines mesures de sécurité simples – telles que ne pas utiliser de mots de passe par défaut ou modifier l'accès par défaut pour chaque nouvelle version du produit – limitera les risques.

“Les sites Web, tels que Shodan.io, permettent à n'importe qui de localiser votre appareil connecté, ce qui rend les choses encore plus difficiles”, a-t-il ajouté. “Cependant, comme les attaques non professionnelles sont désormais majoritaires, la mise en œuvre de ces étapes simples devrait vous aider à rester protégé.”

Pourquoi les appareils IoT sont-ils vulnérables ?

Voici pourquoi les pirates informatiques aiment cibler les appareils IoT :

1. Mots de passe faibles ou sans : La plupart des appareils sont livrés avec des noms d'utilisateur et des mots de passe par défaut tels que admin / 1234. De nombreux utilisateurs ne les modifient jamais, ce qui permet aux pirates de deviner et d'entrer facilement par effraction.

2. Pas de logiciel de sécurité : Contrairement à votre ordinateur portable ou à votre téléphone, la plupart des appareils intelligents ne disposent pas d’antivirus ni d’autres outils de protection tel que les pare-feux.

3. Aucune mise à jour : Certains appareils ne reçoivent jamais de mises à jour après leur vente. Même si une entreprise publie un correctif de sécurité, les utilisateurs ne l'installent souvent pas.

4. Toujours connecté en permanence : Les appareils IoT sont en ligne tout le temps. Cela donne aux pirates un accès 24h/24 et 7j/7 si l'appareil n'est pas sécurisé.

Exemples de piratages IoT réels

Piratages de babyphones — Les attaquants ont accédé aux flux en direct des babyphones grâce à des informations d'identification faibles, ce qui a entraîné des cauchemars en matière de confidentialité pour les familles.

Mirai Botnet — A utilisé des routeurs et des caméras compromis avec des mots de passe par défaut pour lancer la plus grande attaque DDoS à l'époque, supprimant Netflix, Twitter et d'autres services.

Dispositifs médicaux — Des chercheurs en sécurité ont démontré des piratages de pompes à insuline et de stimulateurs cardiaques, montrant que l'IoT non sécurisé peut menacer des vies.

Une cyberattaque destructrice a fait de sérieux dégâts dans les supermarchés français : plusieurs millions d'euros de pertes (produits alimentaires et matériels frigorifiques détruits)

Comment protéger vos appareils IoT

Modifier les informations d'identification par défaut : Première chose après l'installation — ne laissez jamais le nom d'utilisateur & mot de passe par défaut ou sans.

Mettre à jour régulièrement le micrologiciel : Activer les mises à jour automatiques lorsque cela est possible. Si ce n’est pas le cas, consultez les sites des fabricants pour connaître les correctifs.

Segmentation du réseau : Placez les appareils IoT sur un réseau Wi-Fi distinct de vos ordinateurs et téléphones. De cette façon, s’ils sont compromis, les attaquants ne peuvent pas facilement atteindre les appareils sensibles.

Désactiver les fonctionnalités inutilisées : Si vous n’avez pas besoin d’accès à distance ou de certains services, désactivez-les.

Achetez auprès de fournisseurs réputés : Les appareils bon marché et sans nom lésinent souvent complètement sur la sécurité.

Surveiller le trafic : Utilisez votre routeur ou vos outils de sécurité pour surveiller les transferts de données inhabituels.

D’ici 2025, il y aura des milliards d’appareils IoT dans le monde. Si nous ne prenons pas la sécurité de l’IoT au sérieux, les pirates informatiques pourraient accéder à nos maisons, nos bureaux, nos hôpitaux et même à nos réseaux électriques. Les appareils IoT sont des outils étonnants qui rendent nos vies plus intelligentes et plus efficaces. Mais ils peuvent également constituer des responsabilités silencieuses en matière de cybersécurité — faciles à exploiter pour les attaquants s’ils ne sont pas protégés. En prenant des mesures simples comme changer les mots de passe, maintenir le micrologiciel à jour et isoler les appareils IoT, nous pouvons profiter des avantages d’un monde connecté sans mettre en danger notre vie privée et notre sécurité. Attention à l'effet domino !

• Les pirates informatiques peuvent-ils vraiment pirater votre réfrigérateur ? Les risques des appareils connectés

Comment les pirates peuvent compromettre les réfrigérateurs intelligents et autres appareils connectés, ce qu'ils peuvent faire une fois à l'intérieur et les étapes pratiques pour sécuriser votre réseau domestique et vos gadgets IoT

Des réfrigérateurs et systèmes de chauffage aux caméras de sécurité et aux réseaux d’alarme, une gamme croissante d’appareils peut désormais être surveillée et contrôlée à distance, créant ainsi de nouvelles opportunités pour les cybercriminels.

- Les pirates informatiques peuvent-ils vraiment pénétrer dans mon réfrigérateur intelligeant ?

En théorie, oui. Si un appareil est connecté à Internet, directement ou via une application, un service cloud ou un réseau domestique, il peut potentiellement être piraté.

En 2015, des chercheurs ont démontré lors d'une conférence sur le piratage informatique à Las Vegas comment un réfrigérateur intelligent Samsung pouvait être compromis, leur permettant d'intercepter une partie du trafic Internet transitant par l'appareil.

Dans de nombreux cas, les attaquants sont davantage intéressés par le vol de données, la perturbation de services ou l’utilisation d’appareils connectés comme moyen d’accéder à un réseau plus vaste.

- Quels appareils ménagers pourraient être piratés ?

Les cibles les plus courantes sont les appareils connectés à Internet et contrôlés à distance.

Il s’agit notamment de caméras de sécurité, de sonnettes vidéo, de systèmes d’alarme, de serrures intelligentes, de thermostats et de systèmes de chauffage central. Les appareils intelligents tels que les réfrigérateurs, les fours et les machines à laver peuvent également être vulnérables s’ils sont connectés à Internet au sens large. Même certaines brosses à dents sont désormais connectées à Internet.

Selon les données du secteur de la sécurité, ce sont les routeurs, et non les appareils électroménagers, qui sont responsables de plus des trois quarts de toutes les attaques contre les appareils connectés.

Le nombre de ces appareils a augmenté rapidement à mesure que les fabricants ont ajouté une connectivité Internet à des produits autrefois entièrement mécaniques.

- Que pourrait réellement faire un pirate informatique ?

Une fois à l’intérieur d’un appareil, un pirate informatique peut généralement faire l’une des deux choses suivantes : recueillir des informations ou prendre le contrôle de l’appareil.

Une caméra peut montrer l’intérieur d’une maison, un appareil doté d’un microphone peut capter le son et un routeur compromis peut exposer tout ce qui circule sur le réseau.

Les pirates informatiques qui prennent le contrôle d'un appareil peuvent l'allumer ou l'éteindre, modifier les paramètres ou exclure les utilisateurs de leurs comptes. Un thermostat compromis pourrait affecter le chauffage, tandis qu’un congélateur ou un réfrigérateur piraté pourrait perturber les contrôles de température.

Dans les cas plus graves, les attaquants peuvent utiliser des appareils mal sécurisés pour accéder à d’autres systèmes sur le même réseau ou pour voler des informations personnelles liées à des comptes en ligne.

- Des pirates informatiques pourraient-ils prendre le contrôle de ma voiture, de mon approvisionnement en électricité ou en eau ?

Les chercheurs en cybersécurité ont démontré à plusieurs reprises les vulnérabilités des véhicules connectés.

En 2015, des chercheurs ont pris le contrôle à distance d'une Jeep en mouvement grâce à son système de divertissement connecté à Internet, forçant le rappel d'environ 1,4 million de véhicules et le déploiement de correctifs logiciels.

Près d’une décennie plus tard, des chercheurs ont révélé une faille qui leur permettait de suivre, déverrouiller et démarrer certains véhicules Kia en utilisant uniquement un numéro de plaque d’immatriculation. Les chercheurs ont déclaré avoir signalé les vulnérabilités à Kia, qui les a corrigées en quelques mois, et qu'il n'y avait aucune preuve qu'elles aient été exploitées lors d'attaques réelles.

Les véhicules et les avions modernes sont également conçus avec des systèmes de sécurité et de secours étendus.

Les infrastructures critiques telles que les réseaux d’électricité et d’eau comportent généralement plusieurs niveaux de sécurité, de surveillance et de réglementation qui ne sont pas présents dans les appareils grand public.

Cela ne signifie pas qu’ils sont à l’abri des cyberattaques, mais ils sont généralement des cibles beaucoup plus difficiles qu’un appareil électroménager connecté à un réseau Wi-Fi domestique.

- Comment les gens peuvent-ils protéger leurs appareils ?

Les experts en cybersécurité recommandent généralement de modifier les mots de passe par défaut, d’activer l’authentification à deux facteurs lorsqu’elle est disponible et d’installer régulièrement des mises à jour logicielles.

Les consommateurs doivent également supprimer ou remplacer les appareils qui ne reçoivent plus de mises à jour de sécurité, conserver la plupart des appareils sur un réseau local privé (= intranet) ou déconnectés et connecter les produits à l’Internet au sens large uniquement lorsqu’il existe une raison claire de le faire.

La règle la plus simple est souvent la plus efficace : moins vous avez d’appareils connectés, moins il existe de points d’entrée potentiels pour les attaquants.

Article traduit sur Medium et Emirates 24-7