Un ingénieur espagnol prend accidentellement le contrôle de 7 000 robots aspirateurs DJI, une nouvelle faille de sécurité dans les appareils électroménagers intelligents

Les dispositifs domestiques intelligents facilitent la vie quotidienne, mais peuvent également ouvrir des portes aux cybermenaces. Récemment, un ingénieur logiciel espagnol a découvert qu’il pouvait contrôler à distance environ 7 000 robots aspirateurs dans le monde, voir des images en temps réel et collecter une grande quantité d’informations sur les appareils. Avec le marché de la maison intelligente prévu atteindre 139 milliards de dollars d’ici 2032, la croissance rapide de l’industrie soulève une question cruciale : les mécanismes de sécurité suivent-ils le rythme de l’innovation ?

Tentative de modification d’un robot aspirateur et découverte d’une faille mondiale

Selon le média technologique « The Verge », cet incident est survenu lors d’une expérience menée par l’ingénieur logiciel espagnol Sammy Azdoufal. Il voulait initialement faire de l’ingénierie inverse sur son nouveau robot aspirateur DJI Romo pour le contrôler via une manette PlayStation 5.

Cependant, après avoir établi une connexion entre son application de contrôle à distance et les serveurs DJI, la situation a pris une tournure inattendue : non seulement un robot a répondu, mais environ 7 000 robots aspirateurs dans le monde l’ont considéré comme leur maître.

Azdoufal a découvert qu’il pouvait non seulement voir les images en direct et écouter les sons via la caméra du dispositif, mais aussi collecter plus de 100 000 messages provenant de différents appareils. Plus surprenant encore, il pouvait estimer la localisation géographique approximative des appareils via leur adresse IP.

Cela signifie qu’en possédant les mêmes identifiants d’accès, il serait possible de prendre le contrôle d’autres appareils à grande échelle.

Réaction de DJI : la faille a été corrigée, Azdoufal craint des poursuites

Il est important de noter qu’Azdoufal affirme n’avoir aucune intention malveillante et n’avoir pas cherché à pirater d’autres appareils. Il a volontairement signalé la faille pour que le problème soit reconnu et corrigé.

DJI a confirmé que le problème a été résolu et a publié un message de remerciement à Azdoufal sur la plateforme X.

DJI a déclaré : « Vos retours responsables sont extrêmement précieux pour nous. »

Azdoufal a également répondu avec humour sur X, se qualifiant de « l’homme du vacuum » (l’homme du aspirateur), et a plaisanté en disant que de nombreuses personnes lui avaient offert des robots aspirateurs gratuitement.

Cependant, en raison de la couverture médiatique intense, Azdoufal craint que DJI ne cherche à le poursuivre en justice.

Experts en cybersécurité : la sécurité des dispositifs intelligents est souvent négligée

En réalité, ce n’est pas un cas isolé. Alan Woodward, professeur en informatique à l’Université de Surrey au Royaume-Uni, souligne que de nombreux fabricants de produits intelligents privilégient souvent l’« innovation » et la « conquête du marché » lors du développement de leurs produits, laissant la sécurité en dernier.

Woodward explique que l’industrie adopte souvent une mentalité de « mouvement rapide, rupture des conventions » pour lancer des produits moins chers et plus fonctionnels, mais que dès les premières phases de développement logiciel, il est évident que négliger la sécurité entraîne des coûts liés aux vulnérabilités.

Il précise que les problèmes de sécurité des dispositifs intelligents ne proviennent pas uniquement d’erreurs dans un composant logiciel, mais d’une conception globale du système, notamment :

• La façon dont le logiciel de l’appareil interagit avec le serveur cloud
• La connexion entre le serveur et l’application mobile
• La validité des mécanismes d’authentification pour isoler les différents utilisateurs

Un défaut dans l’un de ces aspects peut entraîner des risques en chaîne.

Explosion du marché de la maison intelligente et augmentation des risques

Selon le cabinet d’études MarketsandMarkets, le marché mondial de la maison intelligente devrait atteindre 139 milliards de dollars d’ici 2032. Des dispositifs tels que l’éclairage intelligent, les serrures connectées, les caméras de surveillance, les moniteurs pour bébés et les systèmes de chauffage s’immiscent rapidement dans la vie quotidienne.

Cependant, une étude publiée dans le « Journal of Information Security and Applications » indique que des hackers ont réussi à prendre le contrôle de :

• Systèmes d’éclairage
• Serrures électroniques
• Caméras de sécurité
• Moniteurs pour bébés
• Systèmes de chauffage

L’incident des robots aspirateurs n’est qu’un exemple parmi d’autres. Plus les appareils sont connectés, plus la surface d’attaque potentielle s’élargit.

Origine des vulnérabilités : identifiants par défaut et manque d’isolation des permissions

Dans cette affaire de robots aspirateurs, Azdoufal a pu prendre le contrôle d’autres appareils parce que ses identifiants d’accès lui permettaient d’accéder à d’autres robots.

Woodward recommande que les entreprises obligent les utilisateurs à définir un mot de passe unique lors de la première utilisation du produit, plutôt que d’utiliser des identifiants par défaut ou facilement déductibles. Par ailleurs, les équipes de développement doivent comprendre en profondeur comment le système peut être infiltré, et ne pas se concentrer uniquement sur un seul module.

Il insiste sur le fait que la sécurité informatique ne doit pas être considérée comme une simple étape de programmation, mais comme une partie intégrante de la culture de conception du produit.

Les consommateurs doivent également rester vigilants

Outre la responsabilité des entreprises, les consommateurs doivent évaluer prudemment les risques liés à la vie privée que comportent les dispositifs intelligents.

Woodward conclut : « Ce n’est pas parce qu’on peut le faire qu’on doit le faire. »

Les appareils connectés facilitent la vie, mais lorsqu’ils disposent de caméras, microphones et capacités de localisation, une utilisation abusive pourrait avoir des conséquences bien plus graves que prévu.

Cet article sur l’incident où un ingénieur espagnol a « pris le contrôle » de 7 000 robots aspirateurs DJI, révélant une faille de sécurité dans la domotique, a été initialement publié par Chain News ABMedia.