Que se passe-t-il lorsque vous laissez votre appareil en réparation ?

N’importe qui a déjà cassé son smartphone, sa tablette ou son ordinateur portable et a dû le laisser dans un magasin pour le faire réparer. Le manque de soin de l’utilisateur est parfois à l’origine de l’incident : la substitution d’un écran cassé rapporte des milliards d’euros à cette industrie. La plupart du temps il s’agit d’une défaillance aléatoire comme un problème de batterie, un disque dur mort ou une touche sortie du clavier. Ces incidents peuvent se produire à tout moment.

Malheureusement, les dispositifs modernes sont conçus pour que même les plus débrouillards en informatique ne puissent pas les réparer eux-mêmes. Les smartphones sont de moins en moins réparables au fur et à mesure des années. Pour réparer les derniers modèles, vous devez avoir certaines compétences et comprendre comment les accessoires numériques en toute genre fonctionnent. Vous devez également posséder des outils spécialisés, avoir un certain savoir-faire et avoir accès à des documents et à des pièces détachées uniques.

Ainsi, l’utilisateur n’a pas vraiment le choix s’il casse son smartphone ou son ordinateur portable : il doit trouver un magasin pour le faire réparer. Après tout, ce n’est généralement pas une option de jeter le dispositif, d’en acheter un autre et de recommencer à zéro parce que vous voulez certainement récupérer vos données. C’est pourquoi vous allez sûrement vous rendre à un magasin pour qu’on vous le répare. Il y a tout de même un problème : vous devez laisser votre dispositif à un inconnu. Cette personne que vous ne connaissez pas pourrait avoir accès à vos photos et vidéos, à vos messages, à votre historiques d’appels, à vos documents et à vos renseignements financiers. Pouvez-vous lui faire confiance ?

Le visionnement de porno personnel dans les ateliers de réparation est une réalité

Personnellement, j’y ai pensé beaucoup plus sérieusement après avoir parlé avec un ami. Ce dernier m’a raconté que, lors d’une conversation informelle avec les employés d’un petit atelier de réparation, ces derniers lui ont dit sans aucune hésitation qu’ils en profitent parfois pour regarder le porno personnel qu’ils trouvent sur les appareils d’employés ou d’amis qu’ils réparent.

Les médias parlent parfois d’incidents similaires. Ce n’est pas le seul magasin de réparation où les employés volent les photos personnelles des clients. D’autres histoires beaucoup plus importantes ont fait surface : les employés d’un magasin de réparation ont volé les photos des compagnes de leurs clients pendant des années et ont créé des galeries complètes qu’ils ont ensuite partagées.

Vous pensez sûrement que ces incidents sont des exceptions et ne sont pas une pratique courante ? Les employés de certains magasins ne cherchent pas obtenir les données personnelles des clients, n’est-ce pas ? Malheureusement, les résultats d’une étude que j’ai récemment lue montrent que les réparateurs à l’origine de failles de données d’utilisateurs sont un problème beaucoup plus courant que ce que nous pensons. D’ailleurs, il semblerait que cette curiosité excessive des équipes de réparation soit une des spécialités de ce secteur et non un incident scandaleux isolé. Ne mettons pas la charrue avant les bœufs. Je vais tout vous expliquer étape par étape.

Comment les services de réparation de dispositifs électroniques traitent les données des clients

Les chercheurs de l’université de Guelph, Canada, ont réalisé une étude. Elle se divise en quatre parties ; deux sont consacrées à l’analyse des conversations avec les clients des magasins de réparation alors que les deux autres sont des recherches faites sur le terrain, dans les magasins. Nous allons nous concentrer sur ces deux-là. Dans la première partie  » in situ « , les chercheurs ont essayé de savoir comment les magasins de réparation abordent la confidentialité et quelles sont leurs intentions. Tout d’abord, les chercheurs voulaient savoir quelles politiques ou procédures de confidentialité ces magasins ont adoptées pour protéger les données des clients.

Pour ce faire, les chercheurs ont visité près de 20 magasins de réparation en tout genre (des petits réparateurs locaux aux fournisseurs de services régionaux et nationaux). Ils ont justifié leur visite en disant qu’ils devaient remplacer la batterie de leur ordinateur portable ASUS UX330U. Le choix de cette défaillance est assez simple : les employés n’ont pas besoin d’accéder au système d’exploitation pour établir le diagnostic et résoudre le problème, et tous les outils nécessaires se trouvent dans l’UEFI de l’ordinateur portable. Les chercheurs utilisent généralement l’ancienne dénomination BIOS.

Les visites des chercheurs aux différents magasins se divisent en plusieurs étapes. Tout d’abord, ils ont cherché à déterminer si les clients pouvaient facilement accéder aux informations de la politique de confidentialité des données du magasin de réparation. Ensuite, ils ont vérifié si l’employé qui allait s’occuper de la réparation demandait l’identifiant et le mot de passe pour se connecter au système d’exploitation et, si c’était le cas, comment il justifiait le partage de tels renseignements. Dans ce cas, aucune raison n’est évidente puisque, comme nous l’avons dit, le réparateur n’a pas besoin d’accéder au système d’exploitation pour remplacer la batterie. Troisièmement, les chercheurs ont observé comment le mot de passe communiqué pour la réparation est conservé. Enfin, ils ont demandé à l’employé qui prenait l’appareil de répondre à une question directe et sans ambigüité : comment va-t-il s’assurer que personne n’a accès aux données personnelles ? Cela leur permet de savoir quelles politiques et protocoles de confidentialité ont été mis en place.

Les résultats de cette partie de l’étude sont décevants :

• Aucun des magasins visités par les chercheurs n’a mentionné la politique de confidentialité aux « clients » avant d’accepter l’appareil.
• Tous les services ont demandé le mot de passe de connexion, sauf un centre régional. Les employés expliquaient qu’il était nécessaire pour n’importe quel diagnostic ou réparation, ou pour vérifier la qualité des services fournis (ce qui, comme nous l’avons dit auparavant, n’est pas vrai dans ce cas-là).
• Lorsque les chercheurs ont demandé si les employés pouvaient remplacer la batterie sans le mot de passe, les trois magasins nationaux ont répondu que « non ». Cinq magasins plus petits ont expliqué qu’ils ne pourraient pas vérifier la qualité du travail effectué sans le mot de passe et ont refusé d’être responsables des résultats de la réparation. Un autre magasin a proposé de supprimer la saisie du mot de passe si le client ne souhaitait pas le communiquer. Enfin, le dernier magasin a expliqué que, sans le mot de passe, le réparateur pourrait rétablir les paramètres d’usine de l’appareil si nécessaire.
• Quant au stockage des identifiants, dans presque tous les cas, ils ont dit qu’ils seraient conservés dans une base de données électroniques avec le nom, le numéro de téléphone et l’adresse e-mail du client. En revanche, ils n’ont pas expliqué qui aurait accès à cette base de données.
• Dans près de la moitié des cas, les identifiants étaient physiquement joints à l’ordinateur portable laissé pour réparation. Ils étaient imprimés et collés comme post-it (dans le cas de services plus importants), ou simplement écrits sur un papier (un classique). Dans ce cas, n’importe quel employé du magasin pouvait voir les mots de passe (ainsi que quelques clients curieux).
• Lorsqu’ils ont demandé comment le service allait garantir la confidentialité des données, l’employé qui acceptait l’appareil et les autres membres ont assuré que seul le technicien chargé de la réparation y aurait accès. Pourtant, des analyses plus poussées ont révélé qu’aucun mécanisme ne pouvait le garantir. Les chercheurs devaient les croire sur parole.

Que font les réparateurs avec les données personnelles des clients ?

Après avoir découvert que les magasins de réparation n’ont aucun mécanisme pour enrayer la curiosité de leurs spécialistes, dans la partie suivante de l’étude les chercheurs ont examiné ce qui se passe vraiment dans l’appareil une fois qu’il est entre les mains des réparateurs. Pour ce faire, ils ont acheté six nouveaux ordinateurs portables et ont simulé un problème de base avec le pilote audio : ils l’ont désactivé. La « réparation » ne consistait qu’à faire un diagnostic superficiel et à corriger rapidement le problème en le réactivant. Ils ont décidé d’utiliser ce problème parce que, contrairement à d’autres services comme l’élimination d’un virus du système, le technicien n’a pas besoin d’accéder aux fichiers de l’utilisateur pour réparer le pilote audio.

Les chercheurs ont créé une fausse identité sur chaque ordinateur (des hommes pour la première moitié et des femmes pour les autres). Ils ont généré un historique de navigation, des comptes de messagerie électronique et de jeux vidéo, et ont ajouté plusieurs fichiers, dont des photos des expérimentateurs. Ils ont aussi intégré le premier « piège » : un fichier avec les identifiants d’accès à un portefeuille de cryptomonnaie. Le second piège était un fichier isolé avec des images assez explicites. Les chercheurs ont utilisé des images réelles et codées de femmes d’utilisateurs Reddit pour leur test ; après avoir obtenu leur accord, évidemment.

Enfin et surtout, avant de remettre les ordinateurs portables aux services de réparation, les chercheurs ont activé l’outil « Enregistreur d’actions utilisateur » de Windows qui enregistre toutes les actions effectuées sur le dispositif. Ils ont ensuite laissé les ordinateurs dans les 16 magasins de réparation. Là encore, pour avoir une image complète, les chercheurs ont visité des petits commerces locaux et centres de fournisseurs régionaux ou nationaux. Les « clients » étaient aussi très différents : huit dispositifs ont été configurés pour une femme et les huit autres pour un homme.

Voici ce que les chercheurs ont découvert :

• Même si le problème du pilote audio était simple, dans seulement deux cas il a été résolu en présence du « client » après une courte période d’attente. Dans tous les autres cas, les clients ont dû laisser les ordinateurs portables au moins jusqu’au lendemain. De plus, les magasins de réparation de fournisseurs nationaux les ont gardés pendant au moins deux jours.
• Il a été impossible de récupérer l’historique des actions des techniciens de deux services locaux. Aucune explication plausible n’a été trouvée pour un cas. Quant à l’autre, les réparateurs ont dit aux chercheurs qu’ils ont dû lancer un antivirus sur le dispositif et nettoyer le disque parce que plusieurs virus avaient été détectés. Les chercheurs savaient parfaitement que l’ordinateur n’était pas infecté lorsqu’ils l’ont laissé.

Les chercheurs ont pu analyser l’historique des autres ordinateurs portables. Voici ce qu’ils ont trouvé :

• Parmi les historiques disponibles, les chercheurs ont constaté que les réparateurs ont consulté des fichiers personnels ou l’historique de navigation dans six cas. Quatre sur les ordinateurs portables de  » femmes  » et les deux autres sur ceux d’ « hommes ».
• Dans la moitié des incidents, les employés curieux des centres de réparation ont essayé d’effacer leurs actions en éliminant la liste des fichiers récemment ouverts de Windows.
• Les équipes de réparation étaient plus intéressées par les fichiers qui contiennent des images. Leur contenu, dont des photos explicites, a été visionné dans cinq cas. Dans ce cas, quatre appartenaient aux « femmes » alors que le dernier était celui d’un « homme ».
• L’historique de navigation n’a intéressé les réparateurs que dans deux cas, et les deux sur les ordinateurs d’  » hommes « .
• Les données financières du dispositif d’un  » homme  » n’ont été consultées qu’une seule fois.
• Dans deux cas, les réparateurs ont copié les fichiers de l’utilisateur sur un dispositif externe. Il s’agissait de photos explicites, mais un d’eux contenait aussi les informations bancaires mentionnées ci-dessus.

Dans près de la moitié des cas, les employés de magasins de réparation ont consulté les fichiers des utilisateurs. Ils étaient presque toujours intéressés par les images, dont des photos explicites

Comment vous protéger contre les réparateurs trop curieux

Évidemment, il convient de rappeler qu’il s’agit d’une étude canadienne. Il ne serait pas correct d’étendre ces résultats à tous les pays. Néanmoins, je ne pense pas que la situation soit bien meilleure ailleurs. Il est fort probable que les magasins de réparation d’autres pays, tout comme le Canada, n’aient pas de mécanismes convaincants pour éviter que les employés ne portent atteinte à la vie privée des clients. Il est fort probable que les employés profitent du manque de restrictions établies par l’employeur pour s’immiscer dans les données personnelles des clients, surtout celles des femmes.

Ainsi, il convient de préparer un peu le dispositif avant de l’amener à un centre de réparation :

• Vous devriez vous assurer de faire une sauvegarde de toutes les données sur un dispositif externe ou sur le Cloud (si possible, évidemment). Les magasins de réparation ne garantissent généralement pas la sécurité des données du client. Vous pourriez perdre de précieux fichiers pendant la réparation.
• Dans l’idéal, vous devriez complètement effacer toutes les données et rétablir les paramètres d’usine avant de laisser le dispositif en réparation. C’est exactement ce qu’Apple conseille de faire.
• S’il vous est impossible de nettoyer et de préparer l’appareil avant de le laisser, par exemple si l’écran de votre smartphone est cassé, essayez de trouver un magasin qui effectuera la réparation rapidement et devant vous. Les petits centres sont généralement plus souples sur ce point.
• Quant aux ordinateurs portables, il suffit de cacher toutes les informations confidentielles dans un conteneur de minage. Vous pouvez, par exemple, utiliser une solution de sécurité ou une archive protégée par un mot de passe.
• Les propriétaires de smartphones Android devraient utiliser la fonctionnalité de verrouillage d’applications de Kaspersky Premium for Android. Cette option permet de bloquer toutes les applications en utilisant un code PIN différent qui n’a aucun lien avec celui que vous utilisez pour débloquer votre smartphone.