Votre télévision connectée pourrait bien être en train de vous espionner. Si vous avez prêté attention à tous les scandales WikiLeaks de ces dernières années, vous saviez probablement, sans en avoir conscience, que l'espionnage n'est pas que l'affaire des gouvernements et des cybercriminels. Il est bel et bien pratiqué par les fabricants et les appareils que vous pensiez être sécurisés peuvent y participer.
De nouveaux outils de piratage
Pour ne rien arranger, les nouvelles méthodes d'espionnage piétinent allègrement la notion de vie privée. Par exemple, en 2017, des chercheurs de l'Université de Washington ont montré comment le logiciel appelé CovertBand pouvait utiliser le système sonore d'un appareil intelligent pour suivre le mouvement des personnes dans une pièce. Le dispositif dissimulait des signaux « aigus » indétectables dans la musique qui rebondissaient sur les corps humains et agissaient comme les signaux d'un sonar pour les microphones de l'appareil. Le logiciel pouvait détecter plusieurs personnes dans un rayon d'environ 6 mètres autour de l'appareil et fournir une précision d'environ 17 cm.
Une autre violation a démontré au printemps 2017 l'utilisation de signaux radio pour exploiter les vulnérabilités connues des navigateurs Web des télévisions connectées. En résumé, les pirates exploitent les failles de sécurité dans les navigateurs Web des télévisions, puis utilisent un émetteur bon marché pour intégrer du code dans un signal télévisuel frauduleux. Lorsque le signal est diffusé, les pirates informatiques peuvent prendre le contrôle des télévisions de la zone ciblée, mais aussi d'autres appareils et surveiller les activités du foyer. Cette méthode utilise les failles de sécurité dans les navigateurs Web des télévisions.
Une méthode d'espionnage toute récente utilise un réseau de neurones et un nouvel algorithme développé conjointement par des chercheurs de l'Université de Tel-Aviv et de Cornell, pour analyser les tendances dans les flux de données provenant de vidéos chiffrées, telles que celles de Netflix, Amazon et YouTube, afin de déterminer ce que vous regardez. Le pirate n'a besoin que de l'accès à votre réseau wifi.
Voilà comment cela fonctionne : les flux vidéo sont généralement transmis en segments, appelés séquences, et sont compressés en utilisant une compression à débit binaire variable, pour que les séquences de la même longueur possèdent des quantités différentes de données. Mesurer le nombre de bits par longueur de segment crée une empreinte numérique qui peut être appliquée à d'autres vidéos sélectionnées lorsque leur modèle est connu.
Cette nouvelle méthode nécessite de former le réseau neuronal à l'aide d'une bibliothèque d'empreintes qu'un cybercriminel peut suivre afin de comparer vos données piratées à celles de ces vidéos. Cela revient à comparer des empreintes digitales, mais une fois formée, sa précision est de 99 %.
Ces outils et d'autres peuvent servir aux gouvernements pour espionner. WikiLeaks a rendu public un projet similaire pour le Royaume-Uni et les États-Unis en avril 2017. Surnommé Weeping Angel (ange pleureur), cet outil vise tout particulièrement les télévisions connectées F8000 de Samsung et leur permet d'enregistrer de l'audio par l'intermédiaire de leurs microphones intégrés. Ses principales fonctionnalités incluent un faux mode « arrêt » et une reconnexion wifi automatique pour faire croire aux utilisateurs que la télévision est éteinte même lorsqu'elle est en train d'enregistrer. Des discussions ont également eu lieu concernant l'utilisation de méthodes similaires pour enregistrer des vidéos et utiliser le wifi de la télévision pour transférer ces données.
Les fabricants et les boîtiers décodeurs
Ces possibilités sont certes troublantes, mais le scénario le plus probable est que les fabricants de télévisions connectées surveillent les habitudes de visionnage et vendent ces informations aux professionnels du marketing. Autrement dit, l'espion est souvent le fabricant de télévisions lui-même. Vizio a été condamné à payer une amende de 2,2 millions de dollars par la Federal Trade Commission en février 2017 pour avoir répertorié ce que ses utilisateurs (identifiés par adresse IP) regardaient et vendu ces informations à des publicitaires. D'autres fabricants de télévisions suivent également les habitudes de visionnage sans que l'on puisse prouver la revente des informations à des publicitaires.
Toutefois, la collecte de données n'est pas toujours la faute des fabricants. Les décodeurs TV et les routeurs wifi peuvent être piratés assez facilement. En 2013, par exemple, le bot « Linux/Flasher.A » a été découvert après qu'il a recueilli des informations de connexion provenant de smartphones, tablettes, télévisions et ordinateurs. L'infiltration a été facilitée par les anciens routeurs peu sécurisés. À l'époque, les entreprises de câblodistribution utilisaient souvent les mêmes mots de passe pour tous leurs appareils, et il était difficile pour les abonnés de les changer. Par conséquent, une personne possédant le mot de passe d'un routeur ou d'un décodeur pouvait s'infiltrer dans les autres. Pour ne rien arranger, beaucoup d'appareils étaient pourvus de backdoors.
Plus récemment, en septembre 2016, le botnet intitulé Mirai a causé d'importantes perturbations en transformant les appareils connectés (IoT) en zombies, qui ont surchargé Internet en raison de leur trafic. On craint également que le botnet Hajime puisse être utilisé pour des cyberattaques.
Heureusement, les fabricants de télévisions et de décodeurs en ont tiré des leçons. Les routeurs fabriqués au cours des dernières années sont généralement plus sécurisés que leurs homologues plus anciens. Cela dit, en 2017, la Federal Communications Commission a abandonné le projet d'exiger que les câblodistributeurs déverrouillent leurs appareils pour les développeurs tiers. Si le projet avait été approuvé, les utilisateurs du câble auraient pu choisir leurs propres décodeurs et bénéficier de fonctionnalités plus personnalisées ainsi que d'une sécurité améliorée.
Se déconnecter d'Internet est le moyen le plus sûr d'éliminer les risques de sécurité, mais cela reste peu envisageable à notre époque. Au lieu de cela, installez une boîte de streaming ou diffusez à partir de votre appareil vers une clé branchée sur votre télévision pour étendre la protection offerte par les applications contre les programmes malveillants à celle-ci. Et restez vigilant en permanence.
