Clé à emporter
- Une montre intelligente pour enfants fabriquée en Chine permet aux utilisateurs non autorisés de prendre des photos et d'écouter de l'audio, selon un rapport.
- L'incident met en lumière le problème de la sécurité sur Internet et des gadgets pour enfants, selon les experts.
- Les montres connectées présentent un risque particulier pour la vie privée car elles contiennent une carte SIM et un localisateur GPS, selon un observateur.
Une montre connectée destinée aux enfants permet aux utilisateurs non autorisés de prendre des instantanés et d'écouter les conversations, selon un nouveau rapport.
Le fabricant de la montre, la société de technologie chinoise Qihoo 360, a conçu le logiciel de la montre pour permettre la surveillance non autorisée, selon le rapport de la société de sécurité mnemonic. La montre est "rebaptisée et vendue sur les marchés européens et américains par la société norvégienne Xplora, qui affirme avoir vendu plus de 350 000 montres intelligentes pour enfants dans le monde", indique le rapport.
"La nouvelle découverte d'une porte dérobée dans la smartwatch Xplora est problématique, mais pas surprenante", a déclaré Alvaro Cardenas, professeur d'informatique et d'ingénierie à l'Université de Californie à Santa Cruz, dans une interview par e-mail. "Une interprétation aimable est que cela aurait pu être une caractéristique du développement qui permettait aux parents de prendre des photos de leurs enfants ou leur permettait de voir les environs si un enfant était kidnappé.
"Une interprétation plus problématique est que les smartwatches peuvent être utilisées pour espionner les enfants. Dans les deux cas, cette fonctionnalité n'aurait pas dû être conservée dans la version finale de la smartwatch."
Une fenêtre sur un plus gros problème
Le nouveau rapport met en lumière la question de la sécurité sur Internet et des gadgets pour les enfants, selon les experts.
"La grande majorité des gens aujourd'hui ne réalisent pas à quel point leurs données privées sont désormais stockées sur des appareils autres que leurs téléphones, tablettes et ordinateurs portables", John Shegerian, co-fondateur et président exécutif d'ERI, une entreprise de destruction de matériel électronique, a déclaré dans une interview par e-mail.
"En 2020, nous parlons de tout, du tableau de bord de votre voiture à votre équipement de fitness en passant par les articles ménagers comme les réfrigérateurs intelligents et les fours à micro-ondes et oui, cela inclut également les jeux et jouets électroniques pour enfants."
La porte dérobée de la smartwatch Qihoo semble avoir été intentionnellement fabriquée, écrivent les auteurs du rapport. Il peut être activé en envoyant des commandes SMS à la montre.
"Pour déclencher la porte dérobée, la connaissance d'une clé de chiffrement secrète est nécessaire", ont écrit les auteurs. "Nos recherches nous amènent à croire que la fonctionnalité ne peut pas être utilisée sans connaître la clé. Cependant, comme le montrera l'examen technique, plusieurs parties disposent de l'accès nécessaire, notamment Xplora et Qihoo 360."
Une tentative de joindre l'entreprise pour un commentaire a échoué.
La nouvelle découverte d'une porte dérobée dans la smartwatch Xplora est problématique, mais pas surprenante.
Des montres qui vous regardent
Les montres connectées présentent un risque particulier pour la vie privée car elles contiennent une carte SIM et un localisateur GPS "fournissant la position de votre enfant lorsqu'il utilise le jouet", a déclaré Shegerian.
"De nombreuses montres et appareils similaires collectent, transmettent et stockent de grandes quantités de données personnelles, y compris des données de localisation", a-t-il poursuivi. "Certaines montres n'utilisent même pas de techniques de sécurité de base telles que le cryptage en transit pour protéger les données et peuvent facilement être consultées par des tiers sans consentement."
Les produits connectés pour enfants, tels que les jouets, font la une des journaux depuis des années en raison de problèmes de sécurité et de confidentialité, a déclaré Gonda Lamberink, responsable du développement commercial chez UL, dans une interview par e-mail.
Un scénario effrayant très redouté par les parents est que les pirates peuvent effectivement prendre le contrôle des produits pour enfants, c'est-à-dire se faire passer pour quelqu'un qu'ils ne sont pas, par exemple via un haut-parleur intégré dans une poupée ou un ours en peluche, prenant le contrôle leur « voix » via une connexion Bluetooth locale non sécurisée ayant un appariement ouvert, ne nécessitant aucun mot de passe ou ayant une sécurité de mot de passe faible », a-t-elle ajouté.
Les moniteurs pour bébés posent un risque
Certains des appareils les plus problématiques du point de vue de la confidentialité sont les interphones pour bébés, a déclaré Cardenas. Les caméras connectées à Internet ont été "historiquement mal configurées et mal conçues", a-t-il ajouté. "Ils permettent aux attaquants d'écouter des conversations privées à l'intérieur des maisons et, peut-être plus problématiquement, de parler aux enfants et aux bébés dans la maison."
Un scénario effrayant très redouté par les parents est que les pirates puissent effectivement prendre le contrôle des produits pour enfants.
Un exemple troublant de ce problème est le cas récent d'une fille qui a dit qu'il y avait un monstre dans sa chambre. Quelques jours plus tard, la mère est entrée et a réalisé que son babyphone diffusait des vidéos pornographiques.
Pour les parents, l'étude sur les montres connectées puise dans leurs craintes les plus profondes d'exposer leurs enfants à des étrangers. Les experts n'ont pas de réponse claire au problème, mais cela peut suffire à inciter de nombreuses personnes à réfléchir attentivement à leur prochain achat technologique pour leurs enfants.
