Sécurité des montres connectées : de l’espionnage au vol de mot de passe

La question de la protection des données personnelles touche bien évidemment aussi le domaine des montres connectées. Ces wearables disposent de nombreuses failles de sécurité qui pourraient facilement être exploitées pour transformer l’objet en dispositif d’espionnage.

Nantis de GPS, micro et caméras, certains modèles de montres connectées, comme celles destinées aux enfants, sont particulièrement intrusifs et peuvent directement être utilisés par les parents pour écouter l’environnement de l’enfant, comme par exemple les enseignants en classe. Ce qui représente un non respect de la loi informatique et de liberté. C’est pourquoi, fin 2017, l’Allemagne interdisait ces modèles pour enfants, jugeant que ceux-ci comportaient trop de portes d’entrée dans la vie de ceux-ci.

De l’espionnage via les données de l’accéléromètre et du gyroscope

D’autre part, l’entreprise de cybersécurité Kaspersky Lab a démontré dans une enquête récente qu’il était possible d’espionner un sujet via une montre ou tout autre bracelet connecté classique. Grâce à une application espion installée sur un smartphone qui peut traiter et transmettre les données de l’accéléromètre et du gyroscope, ils ont réussi, en croisant ces données avec la géolocalisation, de reconstituer les actions de l’utilisateur. Il est ainsi par exemple possible de traquer une personne qui rentre dans une banque et, in fine, d’obtenir son code secret lorsqu’il le tapera sur un clavier (s’il utilise le bras où il porte sa montre connectée).

Dans leur test, les spécialistes de chez Kaspersky ont ainsi pu récupérer le mot de passe d’un ordinateur avec une précision de 96 %, et un code saisi à un distributeur automatique avec une précision de 87%. Il est donc possible d’espionner une personne via sa montre connectée pour savoir ce qu’elle tape à l’ordinateur, mais cela est difficile précise Kaspersky, et les reconstructions exactes reposent sur la répétition du texte. En clair, pour dérober les informations générées par une montre connectée, les pirates ont besoin d’activités prévisibles suivies par des saisies de données répétitives.

Se prémunir des applications malveillantes

Une montre connectée peut facilement être infectée par un malware qui dérobe les données et permet aux cybercriminels de les récupérer. Les pirates peuvent s’y prendre en créant une application d’apparence inoffensive (comme un cadran à la mode ou un traqueur fitness), et en y ajoutant une fonction pour lire les données de l’accéléromètre, par exemple.

Les correctifs sont hélas encore trop légers pour assurer une protection digne de ce nom aux wearables, et il est donc préférable d’être prudent. Pour éviter les ennuis, préférez télécharger les applications sur la boutique Google plutôt que sur les stores non-officiels.