IoT : des pirates s’appuient sur le thermostat connecté d'un aquarium pour pénétrer le réseau d’un casino
IoT : des pirates s’appuient sur le thermostat connecté d'un aquarium pour pénétrer le réseau d’un casino
Et extirper 10 Go de data
En 2015, Eugène Kaspersky a fait une sortie pour prévenir de ce que l’Internet des objets pourrait rapidement devenir l’Internet des menaces. En 2018, on est bien tenté de donner raison au CEO de la célèbre entreprise de cybersécurité russe. Et pour cause, l’un des cas rapportés dans le « Global Threat Report 2017 » publié par l’entreprise Darktrace illustre ses propos à souhait. Business Insider s’est également fait le relais de cette information ; des pirates se sont appuyés sur un thermomètre connecté – utilisé au sein d’un aquarium – pour pénétrer le réseau d’un casino.
Darktrace rapporte que ce sont 10 Go de données que les pirates ont pu extirper. « Les attaquants se sont appuyés sur le thermostat pour s’infiltrer dans le réseau. Ils ont ensuite pu mettre la main sur la base de données des parieurs et l’ont exfiltré par le même canal jusqu’au cloud », rapporte l’éditeur en ligne Business Insider des propos de Nicole Eagan – CEO de Darktrace. D’ailleurs, pour cette dernière, « on est désormais submergés d’objets connectés : les thermostats, les systèmes de réfrigération et de conditionnement d’air, sans compter les dispositifs Alexa qui font de plus en plus leur apparition dans les bureaux. Il y a tout simplement trop d’objets connectés. Cette situation augmente la surface d’attaques dont la plupart ne peuvent être contrées par les systèmes de défense conventionnels. »
Intégrateurs de systèmes – objets connectés : à qui la faute ?
Avec les objets connectés, il y a d’abord le problème de la qualité qui se pose. Robert Hannigan, ex-directeur de l’agence d’espionnage britannique, touche à cet aspect en faisant une corrélation digne d’intérêt. « J’ai vu une banque se faire pirater au travers de ses caméras CCTV simplement parce qu’on fait primer le coût sur la qualité au moment d’acquérir ces dispositifs », rapporte Business Insider de ses propos.
Il y a ensuite le savoir-faire des intégrateurs système, c’est-à-dire, des personnes chargées d’insérer ces dispositifs à un existant. Dans le cas de ce casino, ce volet soulève la question de savoir si les personnes à qui cette tâche était dévolue se sont entourées de toutes les précautions de sécurité au moment de l’intégration du thermostat connecté. En substance, il s’agit de vérifier que ces derniers ont procédé à la séparation du réseau de l’aquarium du reste du système informatique.
Le rapport de Darktrace apporte réponse à cette interrogation en soulignant que « pour s’assurer de la séparation d’avec le réseau commercial, le casino a placé l’aquarium derrière un réseau privé virtuel afin de l’isoler. » Suffisant ? La réponse est non puisque Darktrace a pu faire les constats qui nous valent cette publication.
« Le modèle de communication de l’aquarium avec le reste du système informatique était en accord avec celui d’autres dispositifs configurés de façon similaire. Par contre, notre intelligence artificielle a détecté d’énormes irrégularités pour ce qui est des échanges avec l’extérieur », lit-on dans le rapport de Darktrace.
De 2016 à 2017, on a beaucoup parlé de Mirai, un malware qui s’appuyait sur des dispositifs de l’IoT pour créer des réseaux de zombies. Cette évocation a, à chaque fois, posé le problème de la vulnérabilité des objets connectés. Ce qu’il faut également dire c’est que la faillibilité est le propre de tous les systèmes informatiques. L’opérateur humain ayant connaissance de cet état de choses doit donc faire primer sa capacité à faire les bons choix pour contribuer à sécuriser son environnement.
Sources
Rapport Darktrace (page 8)
Business Insider
Et vous ?
Sur la question du choix, quels dispositifs connectés disponibles sur le marché pourraient convenir à un cas d’intégration comme celui de cet aquarium au sein d’un casino ?
.
Voir aussi
Répondre avec citation
Partager