15 000 webcams privées ouvertes au piratage, aucun mot de passe requis

Une fois encore, le triste état de la sécurité des objets connectés suscite l’inquiétude après qu’un chercheur en sécurité a découvert plus de 15 000 webcams privées vulnérables à n’importe quel fouineur en ligne.

Avishai Efrat, pirate éthique travaillant pour WizCase, a identifié des milliers de flux vidéo de webcams non sécurisées, et qui sont diffusés par de nombreuses sources à travers le monde. Les webcams sont fabriquées par divers fabricants, dont :

• AXIS net cameras
• Cisco Linksys webcam
• IP Camera Logo Server
• IQ Invision web camera
• IP WebCam
• Mega-Pixel IP Camera
• Mobotix
• WebCamXP 5
• Yawcam

Dans un article de blog, Chase Williams de chez WizCase a expliqué que des webcams se trouvaient dans des habitations, alors que d’autres semblaient être dans des entreprises, des institutions privées et même des lieux de culte :

“Parmi les exemples de caméras accessibles, citons des magasins, des cuisines ou des salons de maisons familiales privées (notamment des images en direct de personnes au téléphone et d’enfants regardant la caméra), des courts de tennis, des entrepôts, des hôtels, des musées, des églises, des mosquées, des parkings, des salles de sport, etc. ”

Selon Efrat, la confidentialité a été compromise par le cocktail mortel, mais habituel, d’appareils qui ne se sécurisent pas automatiquement lors de l’installation initiale, ajoutés à des propriétaires qui n’ont pas mis en place les mesures de sécurité de base telles que l’authentification par mot de passe et la mise en liste blanche des adresses IP/MAC. Par ailleurs, il reste conseillé aux propriétaires de désactiver UPnP si le réseau P2P est utilisé.

Comme cela a souvent été signalé par le passé, trop d’appareils connectés sont livrés avec des paramètres préconfigurés et des mots de passe par défaut, ce qui simplifie la tâche des cybercriminels.

De fait, dans certains cas, Efrat a indiqué que les pirates pouvaient se connecter à des appareils en tant qu’administrateur, obtenir des informations sur leurs propriétaires, telles que leur emplacement approximatif, et commander la webcam pour la tourner dans une direction différente.

Cependant, la préoccupation la plus évidente concerne les séquences vidéo elles-mêmes. Prendre le contrôle d’une webcam donne aux cybercriminels un accès à des informations privilégiées qui pourraient être exploitées pour les aider lors d’un vol, ou même faire chanter le propriétaire de la webcam non sécurisée.

L’opinion de WizCase est que les fabricants de caméras connectées ont privilégié la facilité d’installation par rapport à la sécurité et ont exposé les utilisateurs de manière dangereuse.

Tant que davantage de fabricants ne simplifieront pas le processus de sécurisation de leurs appareils connectés ou, mieux encore, le rendront automatique, nous continuerons à lire de nombreuses autres histoires de particuliers et d’entreprises exposés à des risques inutiles.