Comment deux étudiants américains arrivent à faire tourner des machines à laver totalement gratuitement

21 mai 2024 à 15h27
6
Les machines à laver sont aussi sujettes aux vulnérabilités. © engin akyurt / Unsplash
Les machines à laver sont aussi sujettes aux vulnérabilités. © engin akyurt / Unsplash

Deux étudiants américains ont découvert une faille de sécurité permettant à n'importe qui de ne pas payer la lessive fournie par plus d'un million de machines à laver connectées à Internet. L'entreprise qui les opère ne daigne pas leur répondre.

CSC ServiceWorks se décrit comme le principal fournisseur de services de blanchisserie commerciale et de solutions de distribution aérienne aux États-Unis, au Canada et en Europe. Ses machines à laver équipent des résidences, hôtels et universités du monde entier, mais visiblement la sécurité de ses appareils n'est pas une priorité.

Au mois de janvier, deux étudiants de l'université de Californie, Alexander Sherbrooke et Iakov Taranenko, sont parvenus à activer une machine en exécutant un script de code, malgré le fait que leur compte lié soit à sec. Plus tard, ils ont ajouté un solde virtuel de plusieurs millions de dollars sur l'un de leurs comptes de blanchisserie, leur permettant d'y accéder via l'application CSC Go.

Meilleur antivirus, le comparatif en mai 2024
A découvrir
Meilleur antivirus, le comparatif en mai 2024
30 avr. 2024 à 15:05
Comparatifs services

Une histoire d'API

Selon les étudiants, la vulnérabilité se trouve dans l'API utilisée par l'application mobile, qui offre la possibilité de recharger son compte, payer et commencer une lessive sur une machine à proximité. Les serveurs de la société peuvent en effet être trompés et accepter des commandes qui modifient le solde du compte, car les contrôles de sécurité sont effectués par l'application via l'appareil de l'utilisateur, puis sont automatiquement approuvés par les serveurs.

Sherbrooke et Taranenko ont réussi à contourner les contrôles de sécurité de l'application et envoyer des commandes directement aux serveurs du CSC, qui ne sont pas disponibles par le biais de l'application elle-même. Techniquement, n'importe qui peut activer une machine de l'entreprise sans payer ou créer un faux compte chez CSC Go, car les serveurs ne vérifient pas non plus si les nouveaux utilisateurs sont propriétaires de leur adresse électronique.

Les étudiants ont souhaité alerter l'entreprise par messages et appels téléphoniques. Si leurs requêtes sont jusqu'à aujourd'hui restées sans réponse, la firme a pris soin de retirer le solde de plusieurs millions de dollars de leur compte. Ils ont décidé de dévoiler leur trouvaille auprès des médias pour faire réagir la direction.

 Activer un lave-linge gratuitement et à distance, c'est bien la découverte de deux étudiants  © Shutterstock
Activer un lave-linge gratuitement et à distance, c'est bien la découverte de deux étudiants © Shutterstock

Dangers potentiels

La possibilité d'activer une machine gratuitement semble inoffensive, mais la vulnérabilité de tels appareils présente tout de même des dangers. Par exemple, l'envoi de commandes par l'intermédiaire de l'API est susceptible de contourner les restrictions de sécurité dont sont équipées les machines à laver pour éviter les surchauffes et les incendies.

« Je ne comprends pas comment une entreprise aussi importante peut commettre ce genre d'erreurs et n'avoir aucun moyen de les contacter », regrette Taranenko.

Cette affaire souligne la nécessité d'apporter des contrôles de sécurité suffisants aux objets connectés. Il est déjà arrivé que des hackers parviennent à activer des caméras depuis l'étranger ou même à accéder à des prises intelligentes.

Quels sont les meilleurs lave-linge ? Comparatif 2024
A découvrir
Quels sont les meilleurs lave-linge ? Comparatif 2024
18 avr. 2024 à 09:50
Comparatif

Source : TechCrunch

Mathilde Rochefort

Avide de nouvelles technologies et particulièrement férue de la marque à la pomme, j’en fais mon métier depuis près d’une décennie. Réseaux sociaux, IA et autres applications… Je partage mon expertise...

Lire d'autres articles

Avide de nouvelles technologies et particulièrement férue de la marque à la pomme, j’en fais mon métier depuis près d’une décennie. Réseaux sociaux, IA et autres applications… Je partage mon expertise quotidiennement sur le World Wide Web.

Lire d'autres articles
Vous êtes un utilisateur de Google Actualités ou de WhatsApp ? Suivez-nous pour ne rien rater de l'actu tech !
google-news

A découvrir en vidéo

Rejoignez la communauté Clubic S'inscrire

Rejoignez la communauté des passionnés de nouvelles technologies. Venez partager votre passion et débattre de l’actualité avec nos membres qui s’entraident et partagent leur expertise quotidiennement.

S'inscrire

Commentaires (6)

MisterDams
Voilà deux étudiants qui ont inventé le blanchiment d’argent au sens propre. Oui, la vanne est double, sortez les tambours (hop, triple) <br /> Par exemple, l'envoi de commandes par l'intermédiaire de l'API est susceptible de contourner les restrictions de sécurité dont sont équipées les machines à laver pour éviter les surchauffes et les incendies. <br /> L’article d’origine est quand même plus précis sur ce point : les étudiants n’en savent absolument rien, mais s’ils ont trouvé une faille dans l’API, ils ont trouvé une faille dans tout ce qu’elle permet de gérer, mais sans savoir exactement ce qu’elle gère.<br /> Je doute que même un lave-linge ultra-connecté de laverie automatique puisse monter à 200° ou faire tourner le tambour à 4 000 trs/min grâce à l’API, surtout sans que les sécurités de la machine ne se déclenchent tout seuls.<br /> A mon avis c’est juste un système de monétique centralisé qui lance ensuite des programmes de lavage comme moi j’appuie sur le bouton. Ça n’en reste pas moins préoccupant, parce que ça peut mener à une escalade de droits, où ils pourraient s’amuser à créditer tout le monde pour cacher leur propre transaction, vider les comptes, accéder aux données personnelles…
Joeee
Cela montre bien les limites des appareils connectés …
mcbenny
Cela montre surtout que toute sécurité implémentée sur l’application (le frontend) doit être considérée comme non existante et doit être reproduite sur les serveurs (backend).
bennukem
Oui là, l’API ne respecte rien, même pas elle même.
juju251
mcbenny:<br /> Cela montre surtout que toute sécurité implémentée sur l’application (le frontend) doit être considérée comme non existante et doit être reproduite sur les serveurs (backend).<br /> Certes, mais d’un autre côté, il faut peut-être aussi se poser la question de la nécessité (ou pas) de tout connecter à Internet.<br /> La réalité de l’IoT on la connait : Des tas de produits dont le côté sécurité est très en retrait.<br /> Sans compter ceux qui ne seront jamais suivis par les fabricants (ni mis à jour donc).
BernardB
Il fallait y pensé de pirater une machine à lavé !!!<br /> Ma petite nièce a un Doudou connecter, gaff aux Hackeurs pour les gros mots ??<br /> Mon frigot m’insulte, ma cafetière me fait du thé, mon aspirateur me parle Chinois, et mon imprimante me demande une rançon sur l’ancre, non non trop matos connecter par les I.AN’s !!!
Nmut
Et ton ordi refuse de lancer ton correcteur orthographique…<br /> Tu n’as pas de bol, mon pauvre.
gaadek
« Je ne comprends pas comment une entreprise aussi importante peut commettre ce genre d’erreurs et n’avoir aucun moyen de les contacter », regrette Taranenko.<br /> Bah c’est simple: une boite qui a un monopole et qui cherche à maximiser ses profits n’en a rien à faire de Roger qui voudrait remonter des problèmes «&nbsp;non visibles&nbsp;»<br /> Le jour où ça impactera les revenus, ça sera autre chose et on virera Joseph, directeur IT, pour ne pas avoir corrigé ces failles.
MisterDams
juju251:<br /> Certes, mais d’un autre côté, il faut peut-être aussi se poser la question de la nécessité (ou pas) de tout connecter à Internet.<br /> La réalité de l’IoT on la connait : Des tas de produits dont le côté sécurité est très en retrait.<br /> Sans compter ceux qui ne seront jamais suivis par les fabricants (ni mis à jour donc).<br /> Dans le cas présent, la connexion semble justifiée. Je pense que la laverie automatique propose plusieurs établissements et que des cartes ou abonnements nécessitent une interconnexion.<br /> Le système permet certainement de gérer aussi une partie de la maintenance à distance (alertes panne par exemple), donc un vrai gain financier pour la société qui gère.<br /> On est en tout cas pas dans le cas du lave-linge domestique qui envoie juste une notification quand il a terminé.
Voir tous les messages sur le forum
Haut de page

Sur le même sujet