Votre caméra intelligente n’est pas à l’abri des intrusions

Les appareils intelligents sont malheureusement bien plus populaires qu’ils ne sont sécurisés. Dans un article publié récemment sur notre blog, nous avons expliqué les dangers que ce manque de sécurité représente pour les utilisateurs d’appareils connectés. L’article d’aujourd’hui dévoile une nouvelle découverte de nos professionnels : une caméra intelligente qui a presque autant de vulnérabilités que de caractéristiques décrites dans son manuel d’utilisation.

Plus sérieusement, 13 vulnérabilités ! Vous pouvez en trouver la liste exhaustive en lisant le rapport complet de Securelist. Voyons maintenant quelles pourraient être les conséquences pour une personne possédant cette caméra.

L’objet de notre étude est la caméra Hanwha SNH-V6410PN produite par Techwin, une ancienne filière de Samsung. Même si les propriétaires de l’entreprise ne sont plus les mêmes depuis quelques années, ces caméras furent fabriquées sous l’enseigne Samsung jusqu’à fin 2017, et vous pouvez encore en trouver quelques-unes vendues sous cette marque.

Cette caméra est commercialisée comme un outil de surveillance utilisable dans les chambres de bébé, dans les maisons en général et même dans les petites entreprises. La caméra peut voir dans l’obscurité, pivoter pour suivre un objet en mouvement, et elle vous permet de regarder en streaming les images sur votre smartphone ou tablette, ou encore d’écouter les enregistrements capturés grâce à un haut-parleur intégré.

Les propriétaires peuvent contrôler toutes les fonctions de la webcam en accédant à un service Cloud depuis leur ordinateur de bureau ou leurs appareils mobiles. Cependant, selon l’étude de Kaspersky Lab ICS CERT, les vulnérabilités de la caméra permettent à d’autres personnes de la contrôler. Les pirates informatiques ont de nombreuses possibilités.

Ne rien voir

Tout d’abord, un inconnu peut remplacer le flux de vidéo envoyé à l’utilisateur, tout comme le font les méchants, ou les gentils, dans les films pour tromper les vigiles avec des images prises une semaine avant alors qu’ils entrent dans un bâtiment sécurisé. Ce n’est désormais plus réservé aux films puisque cette astuce peut être utilisée par de vrais criminels qui sont résolus à entrer par effraction dans une maison ou un immeuble surveillés par cette caméra intelligente.

Cette même caméra peut aider les intrus à obtenir les renseignements dont ils ont besoin avant d’entrer. Nos experts ont pu intercepter le flux vidéo, exploiter le canal audio et se procurer les données géoréférencées. Cela signifie que les agresseurs pourraient connaître l’emplacement de l’appareil et étudier les habitudes et les pratiques des résidents, ou des employés, pour planifier minutieusement leur intrusion ; tout cela à distance, via Internet.

J’espionne grâce à mon œil électronique

Même si nous faisons abstraction des scénarios dramatiques, les pirates informatiques disposent de nombreuses possibilités. Tout comme de nombreux appareils intelligents, cette caméra peut échanger des données avec les réseaux sociaux et les services en ligne pour envoyer des notifications à l’utilisateur au sujet d’événements qui se déroulent dans la zone de surveillance. Une fois qu’ils en ont pris le contrôle, les pirates informatiques peuvent non seulement s’emparer des données de votre compte, mais aussi utiliser l’appareil compromis pour envoyer des courriers indésirables ou des messages d’hameçonnage à vos amis.

Afin de couvrir leurs traces (ou pour s’amuser), ils peuvent même rendre votre caméra complètement hors-service.

Bien sûr, il existe des actions évidentes, comme la possibilité de pouvoir espionner la caméra des propriétaires lorsque ces derniers pensent être seuls. Les pirates informatiques font toujours ce genre de plaisanterie amusante.

La caméra peut également écouter les enregistrements capturés grâce à un haut-parleur intégré. Nous préférons ne pas être trop créatifs, mais imaginez qu’un inconnu puisse parler à travers votre babyphone. Connecter ce genre d’appareils à Internet ne semble pas vraiment être une bonne idée, n’est-ce pas ?

Attaque de cyberzombies

Il y a quelques années, le monde découvrait le potentiel des botnets de l’IdO avec des milliers d’appareils intelligents qui travaillent sous les ordres des criminels pour faire sombrer plusieurs grands services Internet. La menace existait aussi pour les caméras intelligentes produites par Hanwha Techwin. En piratant des centaines ou des milliers de caméras, les agresseurs peuvent s’en servir pour réaliser une attaque DoS, les utiliser pour le minage de crypto-monnaies, ou leur ordonner d’infecter les appareils connectés au même réseau qu’elles, ou faire ce que nous avons mentionné auparavant.

Un avenir sombre ?

En plus de ces caméras, Hanwha produit également des dispositifs de surveillance industriels. On trouve dans son catalogue d’autres produits intéressants comme, entre autres, des installations d’artillerie autopropulsées et des robots militaires sentinelles. Nous espérons que la sécurité est leur priorité lorsqu’il s’agit de ces appareils.

Robot militaire sentinelle  Samsung Techwin SGR-A1, photo de Wikipedia

Nous avons rapporté tous les problèmes détectés dans le micrologiciel de Hanwha SNH-V6410PN et son service Cloud à partir duquel l’unité est contrôlée, et le vendeur a déjà résolu la plupart d’entre eux.

Jusqu’à ce que les fabricants d’appareils intelligents décident de se pencher plus sérieusement sur la protection de leurs produits, dès le début du cycle de développement, nous vous conseillons de les contrôler vous-même pour votre propre sécurité.

• Réfléchissez-y à deux fois avant d’acquérir un appareil intelligent, qu’il s’agisse d’un babyphone vidéo que vous contrôlez depuis votre smartphone ou un produit complètement différent. Si vous en avez vraiment besoin, cherchez sur Internet autant d’informations que possible sur les tentatives d’attaque ou les vulnérabilités connues.
• Apprenez le plus d’informations possible sur les appareils que vous possédez déjà pour réduire le risque d’attaque. Kaspersky Lab a lancé une application, Kaspersky IoT Scanner*, qui est une solution de protection intelligente gratuite. L’application va vérifier votre réseau Wi-Fi et vous dire si les appareils connectés sont sécurisés ou non.

*Mise à jour : l’application décrite dans cet article n’est plus disponible.