Des vulnérabilités dans les objets sexuels connectés pourraient exposer les utilisateurs à des risques de fuites de données, ainsi que des cyberattaques et des attaques physiques, selon un nouveau livre blanc d’ESET.
Le rapport Sex in the Digital Era - How secure are smart sex toys? (Le sexe à l’ère numérique - Les objets sexuels connectés sont-ils sécurisés ?) examine les risques et les failles potentielles de sécurité des objets sexuels connectés, et présente une analyse approfondie de deux appareils populaires. Dans un contexte de restrictions sociales dues à la pandémie, les ventes d’objets sexuels ont augmenté rapidement et les problèmes de cybersécurité qui en découlent ne doivent pas être négligés.
À mesure que de nouveaux modèles d’objets sexuels technologiquement avancés arrivent sur le marché, intégrant des applications mobiles, une messagerie, le chat vidéo et de multiples connectivité via le web, ces appareils deviennent plus attrayants pour les cybercriminels et plus exploitables. Les conséquences des fuites de données dans ce domaine peuvent être particulièrement désastreuses lorsque les informations divulguées touchent à l’orientation sexuelle, les comportements sexuels ou des photos intimes.
Les chercheurs d’ESET ont découvert des vulnérabilités dans les applications contrôlant les deux objets sexuels intelligents étudiés. Ces vulnérabilités pourraient conduire à l’installation de logiciels malveillants sur le téléphone connecté, la modification du micrologiciel des objets, voire la modification délibérée d’un appareil pour causer des blessures physiques aux utilisateurs.
Pour aborder ces dangers et étudier le degré de sécurité des objets intelligents, les chercheurs d’ESET ont analysé deux des objets pour adultes les plus vendus sur le marché : le We-Vibe Jive et le Lovense Max. Les analystes ont téléchargé les applications des fabricants depuis la boutique Google Play pour contrôler les appareils (We-Connect et Lovense Remote), et ont utilisé des frameworks d’analyse de vulnérabilités ainsi que des techniques d’analyse directe pour identifier des défauts dans leur mise en œuvre.
We-Vibe
En tant qu’appareil portable, le We-Vibe Jive est susceptible d’être utilisé dans des environnements peu sûrs. L’appareil annonce continuellement sa présence pour faciliter la connexion, ce qui signifie que toute personne équipée d’un scanner Bluetooth peut trouver l’appareil à proximité, jusqu’à huit mètres de distance. Des agresseurs potentiels pourraient alors identifier l’appareil et utiliser la force de son signal pour les guider vers son porteur. L’application officielle du fabricant n’est pas nécessaire pour contrôler l’appareil, car la plupart des navigateurs offrent des fonctions pour cela.
Le Jive utilise la méthode de jumelage BLE la moins sûre, dans laquelle le code clé temporaire utilisé par les appareils pendant le jumelage est simplement le chiffre zéro. Tout appareil peut donc se connecter en utilisant zéro comme clé. Le Jive est très vulnérable aux attaques de type man-in-the-middle (MitM), car un Jive non jumelé pourrait se jumeler automatiquement avec n’importe quel téléphone mobile, tablette ou ordinateur qui le demanderait, sans effectuer de vérification ni d’authentification.
Bien que les fichiers multimédias partagés entre les utilisateurs lors des sessions de chat soient enregistrés dans les dossiers de stockage privés de l’application, des métadonnées restent incluses dans les fichiers partagés. Cela signifie que chaque fois que les utilisateurs envoient une photo à un téléphone à distance, ils envoient également potentiellement des informations sur leur appareil et leur géolocalisation exacte.
Lovense
Max peut se synchroniser avec un homologue à distance, ce qui signifie qu’un agresseur pourrait prendre le contrôle des deux appareils en ne compromettant que l’un d’entre eux. Les fichiers multimédias ne contiennent cependant pas de métadonnées lorsqu’ils sont échangés avec l’appareil distant, et l’application permet de configurer un code de déverrouillage à quatre chiffres via une grille de boutons, ce qui rend les attaques par force brute plus difficiles.
Certains éléments de la conception de l’application peuvent menacer la vie privée des utilisateurs, tels que la possibilité de transmettre des images à des tiers à l’insu de son propriétaire, et les utilisateurs supprimés ou bloqués continuent d’avoir accès à l’historique de chat et à tous les fichiers multimédias précédemment partagés. Lovense Max n’utilise pas non plus d’authentification pour les connexions BLE, donc une attaque MitM peut être utilisée pour intercepter la connexion et envoyer des commandes pour contrôler les moteurs de l’appareil. L’utilisation par l’application d’adresses email dans les identifiants des utilisateurs pose en plus des problèmes de confidentialité, les adresses étant partagées en texte clair entre tous les téléphones participant à chaque chat.
Denise Giusto et Cecilia Pastorino, Researchers chez ESET, mettent en garde les utilisateurs : « Des précautions doivent être prises pour s’assurer que les objets sexuels intelligents soient conçus en tenant compte de la cybersécurité, notamment en raison de la gravité des dangers potentiels. Bien que la sécurité ne semble pas être une priorité pour la plupart des objets pour adultes à l’heure actuelle, les utilisateurs peuvent prendre certaines mesures pour se protéger, notamment éviter d’utiliser les appareils dans des lieux publics, ou des zones de passage telles que des hôtels. Ils doivent uniquement connecter l’objet intelligent à son application mobile lorsqu’il est utilisé, car cela empêchera l’appareil d’annoncer sa présence auprès d’acteurs malveillants potentiels. Avec le développement du marché des objets sexuels, les fabricants doivent faire de la cybersécurité une priorité, car chacun a le droit de pouvoir utiliser la technologie en toute sécurité. »
Les deux fabricants ont reçu un rapport détaillé des vulnérabilités et des suggestions sur la manière de les corriger. Au moment de la publication de cet article, toutes les vulnérabilités ont été résolues. Pour en savoir plus sur l’analyse d’ESET concernant la sécurité de ces objets sexuels intelligents, vous pouvez lire le rapport complet ic
Darina SANTAMARIA - 06 61 08 42 45 - darina.j@eset-nod32.fr
À propos d'ESET
Spécialisé dans la conception et le développement de logiciels de sécurité pour les entreprises et le grand public, ESET est aujourd’hui le 1er éditeur de l’Union européenne en matière de sécurité des endpoints. Pionnier en matière de détection proactive, ESET a été désigné pour la 2ème année consécutive, unique Challenger dans le Gartner Magic Quadrant 2019*, « Endpoint Protection » après avoir été évalué sur sa performance et sur la qualité de sa vision dans le domaine de la protection des Endpoints. À ce jour, l’antivirus ESET NOD32 détient le record mondial de récompenses décernées par le laboratoire indépendant Virus Bulletin depuis 1998. La technologie ESET protège aujourd’hui plus d’un milliard d’internautes. *Source : Gartner Inc, Magic Quadrant for Endpoint Protection Platforms, Peter Firstbrook, Lawrence Pingree, Dionisio Zumerle, Prateek Bhajanka, Paul Webber, August 20, 2019.