En résumé:
- PCWorld souligne comment les appareils domestiques intelligents, des caméras Ring aux téléviseurs intelligents, collectent les données des utilisateurs et les transmettent aux fabricants, créant ainsi des vulnérabilités en matière de confidentialité que les pirates peuvent exploiter à des fins de surveillance non autorisée.
- La mauvaise sécurité de ces appareils permet des écoutes et une surveillance potentielles, avec des cas montrant des employés et des cybercriminels accédant à des caméras domestiques et à des informations personnelles.
- Les utilisateurs peuvent se protéger en créant des réseaux séparés pour les appareils intelligents, en bloquant l’accès à Internet ou en déconnectant complètement les appareils tout en conservant certaines fonctionnalités.
Savez-vous à qui parle votre technicien ?
La plupart des gens possèdent au moins un appareil intelligent chez eux. Pensez à la laveuse et à la sécheuse, au réfrigérateur, à la télévision, à la porte de garage, au robot aspirateur, au babyphone et au haut-parleur. Vous supposez probablement que ceux-ci sont faibles sur votre réseau domestique, attendant de vous dire quand vous avez laissé la porte de votre réfrigérateur ouverte. Ou pour que vous puissiez réellement mettre en file d’attente quelque chose sur Netflix ou un autre service de streaming à regarder.
Bienvenue en mode sans échec, votre rapport hebdomadaire pour les actualités urgentes en matière de sécurité et de confidentialité et les étapes à suivre. Vous souhaitez que cette newsletter arrive directement dans votre boîte de réception ? Inscrivez-vous sur notre site!
En réalité, ces appareils peuvent utiliser leur connectivité pour enregistrer votre utilisation et vos habitudes, puis renvoyer ces données à leurs fabricants. Les appareils sont désormais livrés comme ceci par défaut, même si vous ne le saurez pas à moins de fouiller dans les paramètres pour le plaisir. Ou encore moins probablement, les conditions d’utilisation, où ces informations sont rarement énoncées dans un anglais clair et courant.
Même si une entreprise ne vous surveille pas, elle peut mal sécuriser ses produits intelligents, permettant aux pirates (ou aux pirates accidentels) de vous surveiller silencieusement à distance. Si l’appareil est équipé d’une caméra, un étranger pourrait cartographier l’agencement de votre maison ou même simplement regarder en temps réel ce que vous et votre famille faites à la maison.
Je connais des gens qui disent qu’ils n’ont rien à cacher. Mais peu d’entre eux se disent à l’aise avec le fait qu’une personne aléatoire surveille leur maison, et encore moins sur leurs habitudes habituelles. Ou observer leurs moments les plus intimes. Les produits les moins technologiques permettent à la fois au fabricant et aux pirates de prendre complètement le dessus, comme ce fut le cas avec les caméras Ring. (Je ne plaisante toujours pas avec cela, même après le procès et la décision contre l’entreprise.) C’est une chose lorsque l’idée est théorique. Mais quand quelqu’un que vous ne connaissez pas partage des images de vous en train de dormir…. Bien.
Alors, comment riposter ? Vous avez quelques options. L’un préservera votre confidentialité numérique, tandis qu’un autre préservera à la fois votre confidentialité numérique et physique. Le troisième vous permet de vous désinscrire complètement.
Gardez les appareils intelligents sur un réseau distinct. Sur les routeurs domestiques dotés de paramètres plus avancés (ou sur un routeur professionnel), vous pouvez créer un réseau virtuel (VLAN) distinct auquel tous vos appareils intelligents pourront se connecter. Cela leur permet de continuer à communiquer avec Internet comme d’habitude, mais de ne pas voir quel autre trafic transite vers et depuis votre PC, téléphone ou autre équipement de confiance. Cependant, un pirate informatique pourrait toujours voir l’intérieur de votre maison grâce à n’importe quelle technologie intelligente dotée de caméras.
Bloquez les appareils intelligents depuis Internet. Vous pouvez laisser les appareils intelligents sur votre réseau domestique, mais les empêcher d’accéder à Internet. À condition que la technologie intelligente ne nécessite pas d’être en ligne pour fonctionner (par exemple, services de streaming vidéo sur un téléviseur ou utilisation d’Alexa sur un haut-parleur intelligent Amazon), vous conserverez au moins certaines des fonctionnalités de votre technologie intelligente.
Retirez complètement les appareils intelligents du Web. Si vous pouvez vous passer des fonctionnalités intelligentes de votre technologie, ne les connectez pas à Internet. (Vous devrez peut-être le faire temporairement pendant l’installation ou pour mettre à jour le micrologiciel pour les correctifs de bogues, mais ensuite, faites-leur oublier votre réseau.)
Personnellement, je ne pense pas que Samsung, LG, Sony ou toute autre entreprise technologique aient besoin d’étudier la façon dont j’utilise ma laveuse et ma sécheuse ou ce que je regarde sur mon téléviseur. Je peux facilement compenser ces fonctionnalités « intelligentes » : je peux facilement régler une minuterie pour suivre la laveuse et la sécheuse. Je suis également assez ringard pour préférer connecter un petit PC à faible consommation au téléviseur pour le streaming. Est-ce un peu plus de travail ? Bien sûr. Mais au moins, je sais qui est responsable de tout inconfort. Parfois, je dors beaucoup mieux en sachant que j’en suis la cause.
Dans l’actualité
Les acteurs malveillants continuent de s’attaquer aux mêmes vulnérabilités que nous constatons semaine après semaine : des chatbots IA qui partagent trop, des logiciels malveillants se propageant via des logiciels sécurisés et de mauvaises pratiques de sécurité d’entreprise. Cette fois-ci, cela affecte des acteurs majeurs comme Microsoft, Steam et Frontier Airlines.
Vous ne pouvez pas contrôler grand-chose, mais vous pouvez au moins résoudre quelques autres problèmes vous-même. Apple a finalement corrigé une vulnérabilité majeure dans ses Beats Studio Buds, alors mettez-les à jour dès que possible. Et des certificats Secure Boot mis à jour existent pour les PC, donc même s’ils n’ont pas été appliqués automatiquement, vous pouvez toujours les mettre à jour manuellement.
Le bon
- Apple a corrigé un bug majeur dans ses Beats Studio Buds qui permettait les écoutes clandestines. Cette vulnérabilité Bluetooth donnait accès au microphone des écouteurs, permettant à un attaquant d’écouter l’environnement de l’utilisateur. La mise à jour est servie automatiquement.
Le mauvais
- Il a été découvert qu’une application de fond d’écran disponible via Steam introduisait des logiciels malveillants sur les PC des utilisateurs, avec diverses conséquences telles que le piratage de comptes Steam ou l’installation de logiciels de porte dérobée. Le problème principal ? Une grande partie du contenu fourni à cette application est générée par l’utilisateur, des contrôles moins stricts sont donc en place.
- Microsoft Copilot peut être manipulé pour cracher des informations sensibles telles que des codes d’authentification à deux facteurs. La leçon ici est que si vous laissez un chatbot consulter vos e-mails ou vos messages, vous ne pouvez pas toujours contrôler ce qu’il finit par partager.
- Les cartes d’embarquement de Frontier Airlines peuvent divulguer vos informations personnelles de voyage, notamment les numéros de passeport, les numéros TSA PreCheck et d’autres informations stockées dans votre compte. En général, cacher votre carte d’embarquement et ses détails est une bonne idée… mais maintenant c’est particulièrement vrai si vous voyagez avec Frontier.
Le discutable
- Google construit des murs autour de son jardin d’applications : les développeurs doivent désormais se soumettre à une vérification pour publier des applications sur le Google Play Store. Je suis déchiré par celui-ci, car cela pourrait aider à réduire le nombre d’applications malveillantes. Mais les bonnes applications gratuites pourraient aussi devenir plus difficiles à trouver.
- Le Royaume-Uni est sur le point d’exiger une carte d’identité ou un scanner facial pour la création d’un compte sur les réseaux sociaux, dans le cadre de la législation qui interdit aux moins de 16 ans d’avoir un compte. La vérification de l’âge fait partie d’un effort visant à protéger les enfants en ligne, mais avec pour effet secondaire de réels risques pour la vie privée et la sécurité des adultes.
Attention
- Une protection de sécurité majeure pour les PC expire ce mois-ci et votre ordinateur pourrait avoir besoin d’une mise à jour manuelle. Je recommande de vérifier que les certifications Secure Boot de votre PC sont à jour.
- Le site Web de sécurité Have I Been Pwned vient de télécharger 124 millions de mots de passe volés supplémentaires dans sa base de données. Vous pouvez vérifier si le vôtre en fait partie. (Et pendant que vous y êtes, inscrivez-vous au service de notification du site.)
Astuce de la semaine
Vous n’êtes pas obligé de donner votre véritable adresse e-mail aux sites Web ou aux applications. Essayez plutôt un masque de courrier électronique. Ces adresses e-mail aléatoires transfèrent les messages vers votre véritable adresse e-mail et peuvent être facilement détruites.
L’avantage : vous pouvez immédiatement changer de masque de messagerie si vous recevez beaucoup de spam, par exemple à cause d’une violation de données. Ils peuvent également empêcher les attaques de type credential stuffing et être suivis sur le Web.
Je les recommande comme outil intelligent de confidentialité et de sécurité, et vous n’avez rien à payer pour les essayer. Essayez le service Firefox Relay de Mozilla : il vient tout juste de commencer à permettre aux utilisateurs gratuits de créer jusqu’à 50 masques !
