Un grand nombre de kiosques numériques et de terminaux interactifs utilisés dans les villes modernes à différentes fins – du paiement de différents services au divertissement, comportent des failles de sécurité qui peuvent rendre publiques des données personnelles d’utilisateurs. De plus, ces appareils peuvent être utilisés pour espionner ou pour diffuser du code malveillant.

C’est ce qui ressort d’une enquête menée par les experts de Kaspersky Lab. Outre des kiosques, les spécialistes ont également examiné des radars utilisés dans les villes et leur infrastructure de soutien. Ils ont ainsi découvert que des utilisateurs malintentionnés peuvent avoir facilement accès à ces radars et manipuler les données recueillies.

Les kiosques numériques et les radars sont notamment faciles à pirater

Dans un cas particulier, l’interface utilisateur du terminal comportait un lien Web. Il suffisait au pirate de cliquer dessus pour d’abord ouvrir le navigateur et ensuite – via la boîte de dialogue d’aide standard – un clavier virtuel. Dans un autre cas – avec un kiosque de service d’une administration électronique, le scénario exigeait que l’utilisateur appuie sur le bouton « Imprimer ». La boîte de dialogue d’impression habituelle du navigateur restait alors ouverte quelques secondes, après quoi le pirate (pourvu d’être suffisamment rapide) pouvait appuyer sur le bouton « Modifier » [paramètres d’impression] pour passer à la section Aide. De là, l’écran de configuration pouvait être ouvert et le clavier virtuel, démarré. Après quoi le pirate pouvait disposer de tous les appareils nécessaires pour introduire des informations (le clavier virtuel et le pointeur de la souris) et pouvait utiliser l’ordinateur à des fins malveillantes, par exemple pour activer des maliciels, obtenir des informations sur des fichiers imprimés, s’emparer du mot de passe administrateur de l’appareil, etc. Et ce n’est là qu’un échantillon des points faibles découverts par les chercheurs de Kaspersky Lab.

“Certains des terminaux publics que nous avons examinés traitaient des données très importantes, comme des données personnelles d’utilisateurs, parmi lesquelles des numéros de cartes de crédit et des contacts vérifiés (par exemple des numéros de téléphones mobiles). Bon nombre de ces terminaux sont reliés entre eux et à d’autres réseaux. Pour un pirate, ils peuvent être une très bonne base pour des types d’attaques très différentes: du simple vandalisme à des intrusions avancées sur le réseau du propriétaire du terminal. En outre, nous pensons que des kiosques numériques publics seront à l’avenir de plus en plus souvent intégrés dans d’autres infrastructures urbaines intelligentes, étant donné qu’ils permettent une interaction pratique avec plusieurs services. Avant d’en arriver là, les fournisseurs doivent s’assurer qu’il soit impossible de compromettre les terminaux par le biais des points faibles que nous avons découverts”, indique Denis Makrushin, expert en sécurité chez Kaspersky Lab.

Une autre partie de l’enquête a été consacrée aux radars dans les villes. A l’aide du moteur de recherche Shodan, les chercheurs ont pu identifier plusieurs adresses IP appartenant à ce genre d’appareils et accessibles publiquement via le Web : aucun mot de passe ne les protège et chacun pourrait visionner (et plus) les images des caméras. Les chercheurs ont en outre découvert que certains outils utilisés pour commander ces caméras sont disponibles pour tout un chacun via le Web.

“Dans certaines villes, les radars suivent des lignes spécifiques sur l’autoroute – une particularité qui peut facilement être désactivée. Par conséquent, si un pirate voulait couper temporairement le système à un emplacement précis, c’est tout à fait possible. Quand on sait que ces caméras sont utilisées (ou peuvent l’être) à des fins de sécurité et de répression, il est facile d’imaginer comment ces failles de sécurité peuvent être exploitées dans le cas de vols de voitures et autres méfaits. Il importe dès lors d’au moins protéger ce genre de réseaux contre un accès Web direct”, conclut Vladimir Dashchenko, expert en sécurité chez Kaspersky Lab.

L’enquête et le post de blog correspondant sont disponibles sur Securelist.com.

[toggle title=”À propos de Kaspersky Lab“]

Kaspersky Lab est une société de cyber-sécurité fondée en 1997 et opérant dans le monde entier. L’expertise approfondie de Kaspersky Lab en matière de renseignements et de sécurité se traduit constamment dans des solutions et des services de sécurité pour protéger les entreprises, les infrastructures critiques, les pouvoirs publics et les particuliers. Le portefeuille étendu de sécurité de la société comprend la référence en matière de protection de terminaux et plusieurs solutions et services de sécurité spécialisés pour lutter contre les menaces numériques avancées et en évolution continue. Les technologies de Kaspersky Lab offrent une protection à plus de 400 millions d’utilisateurs et nous aidons 270.000 clients professionnels à protéger leurs biens les plus précieux. Plus d’information sur www.kaspersky.com.

[/toggle]