Les jouets connectés les plus populaires continuent de poser d'importants problèmes de sécurité

Deux ans après son premier rapport sur les failles de sécurité des jouets connectés, le groupe de consommateurs Which? sonne à nouveau l’alarme : l’achat d’un jouet dit intelligent peut mettre votre enfant ou même toute votre famille en danger de voir un tiers exploiter ses vulnérabilités.

Et certains jouets connectés populaires actuellement vendus en ligne présentent de nombreuses vulnérabilités, selon le rapport de Which?. En partenariat avec les experts en tests de sécurité, audit et conformité du NCC Group, Which? a testé certains des jouets connectés les plus populaires et les mieux évalués sur Amazon, Argos, John Lewis et Smyths. Ils concluent que bon nombre d’entre eux, vendus comme sûrs, présentent “des lacunes en sécurité de base”.

L’ensemble de karaoké Singing Machine SMK250PP et le microphone de karaoké vendu sur Amazon par TENVA utilise une connexion Bluetooth pour permettre la diffusion audio à partir d’un téléphone ou d’un autre appareil directement sur la machine.

Les deux jouets se connectent automatiquement sans authentification lorsqu’un périphérique de streaming Bluetooth établit une connexion, ce qui signifie qu’un étranger peut utiliser l’un ou l’autre pour diffuser un son à l’enfant à l’autre bout de la ligne, à condition que l’étranger se trouve dans les 10 mètres .

Parce qu’ils se connectent sans authentification, les deux jouets pourraient être utilisés pour une attaque de second ordre, dans laquelle un pirate pourrait les utiliser pour exploiter un autre appareil à commande vocale, comme l’assistant Amazon Echo, ou pour contrôler d’autres appareils connectés comme une serrure intelligente, selon Which?.

Le talkie-walkie Vtech KidieGear a raison de prétendre fournir une communication numérique chiffrée, note le rapport. Cependant, il existe une fenêtre de 30 secondes pour associer un talkie-walkie à l’autre. Cela pourrait permettre à un étranger d’associer facilement son propre appareil à celui de l’enfant, car la connexion ne nécessite pas d’authentification. Cela signifierait qu’un étranger pourrait avoir des conversations avec l’enfant à une distance allant jusqu’à 200 mètres – une perspective effrayante pour n’importe quel parent.

Vtech dit que la soi-disant faille de sécurité n’en est pas vraiment une, car il y a trop de «si» dans ce scénario. De plus, une fois les deux talkies-walkies appariés, un troisième ne peut pas se connecter à l’appareil de l’enfant. Vtech souligne que ses talkies-walkies utilisent le chiffrement AES standard de l’industrie pour communiquer et sont aussi sûrs qu’ils le prétendent.

Deux autres produits, l’interface de création de jeu vidéo Bloxels FFB15 de Mattel et le jouet interactif Sphero Mini, permettent de publier du contenu non censuré sur la plateforme en ligne de l’application qui les accompagne. Cela signifie que quelqu’un pourrait télécharger du contenu, y compris du langage explicite et des images offensantes, sur la plateforme et qu’il deviendrait instantanément disponible pour l’ensemble de la communauté, car le système de filtrage des plates-formes respectives ne fonctionnera pas en conséquence.

La bonne nouvelle est que l’un des produits stars de Noël 2019, le Rizmo, est sûr. Il ne possède aucune connectivité, donc tout échange se fait exclusivement entre l’enfant et le jouet. La mauvaise nouvelle est que les défauts des autres jouets exposés dans cette série de tests sont “d’une simplicité déprimante” et ne devraient pas exister dans le catalogue de grandes marques vendant des jouets très appréciés.

Which? conseille aux consommateurs d’acquérir des jouets connectés uniquement en toute connaissance de cause et après de sérieuses recherches. Avant de partir acheter à votre enfant le dernier gadget que vous avez vu à la télévision, lisez la notice pour savoir comment l’enfant peut interagir avec le jouet et, chose plus importante encore, si l’objet a déjà soulevé des problèmes de confidentialité.

En cas de doute, choisissez plutôt un jouet non connecté. Si vous avez fait vos recherches et que vous optez toujours pour un jouet connecté, choisissez des mots de passe forts, limitez la quantité de données que vous partagez et gardez toujours un œil sur l’enfant lorsqu’il joue avec. Enfin, lorsqu’il n’est pas utilisé, éteignez-le complètement.