Ce pirate réussit à déverrouiller un Google Pixel et gagne 70 000 dollars

Thibaut Popelier
Par Thibaut Popelier, Spécialiste Gaming.
Publié le 11 novembre 2022 à 15h45
© Google
© Google

Trouver une faille de sécurité peut rapporter gros ! En effet, un hacker a été généreusement récompensé par Google pour avoir réussi à outrepasser le verrouillage d'un smartphone de la gamme Pixel.

Un souci qui a bien évidemment été corrigé grâce à cette trouvaille pour le moins étonnante.

Une vulnérabilité problématique

On peut parfois penser que nos smartphones sont protégés une fois le verrouillage de l'écran activé (par code PIN, empreinte digitale ou même reconnaissance faciale). Pourtant, si nous en croyons cette découverte faite par le chercheur en sécurité David Schütz, ce n'était pas vraiment le cas sur les mobiles de Google. Le principal intéressé s'est aperçu qu'il était finalement très facile de contourner les sécurités d'un Pixel 6 verrouillé.

Cependant, tout est rentré dans l'ordre puisque Google a déployé sa mise à jour de novembre dans le but de faire disparaître cette vulnérabilité nommée « CVE-2022-20465 ». Le signalement de Schütz s'est donc montré extrêmement utile. Si bien que la firme américaine lui a fait un joli chèque de 70 000 dollars pour le remercier.

Une faille simple à exploiter

Pour pouvoir déverrouiller un smartphone Pixel sans en être le propriétaire, il y avait quelques étapes relativement basiques à suivre. Déjà, il était nécessaire de fournir une empreinte digitale incorrecte jusqu'à ce que le mobile vienne réclamer le code PIN. Sans éteindre l'appareil, la personne devait alors insérer sa propre carte SIM avec un code préconfiguré.

Par la suite, il fallait taper le mauvais code à trois reprises pour afficher la demande du code PUK. Entrer ce dernier et configurer un nouveau code PIN suffisait pour conclure l'opération en déverrouillant le téléphone. Bref, une carte SIM était le seul équipement nécessaire pour pouvoir utiliser le Google Pixel comme si de rien n'était. Pas besoin d'être un hacker professionnel pour y parvenir.

Thibaut Popelier
Par Thibaut Popelier
Spécialiste Gaming

Fan de jeux vidéo et de nouvelles technologies, je suis rédacteur dans ce milieu depuis déjà plusieurs années. J'aime partager ma passion à travers les news, tests et autres dossiers. J'adore aussi le catch et Harry Potter (et les chats bien sûr !)

Vous êtes un utilisateur de Google Actualités ou de WhatsApp ?
Suivez-nous pour ne rien rater de l'actu tech !
Commentaires (0)
Rejoignez la communauté Clubic
Rejoignez la communauté des passionnés de nouvelles technologies. Venez partager votre passion et débattre de l’actualité avec nos membres qui s’entraident et partagent leur expertise quotidiennement.
Commentaires (10)
ctalpaert42

La vulnérabilité vient d’une configuration où le code PIN se trouve uniquement sur la carte SIM. En appliquant un code PIN directement sur le téléphone, la faille n’existe plus.
Ce qui pourrait être utile c’est que le téléphone stock le code PIN de la carte SIM. Ainsi l’utilisateur n’aurait que le code du téléphone à retenir et la carte SIM resterait protégée (un peu) en cas de vol et de tentative d’utilisation pour casser une protection MFA par exemple.

toto1234

Oula, ça c’est la boulette.

Bombing_Basta

Il manque un 0 au chèque vu la faille trouvée…

Blackalf

Lire l’article aurait évité toutes ces questions…

Kriz4liD

Ce genre de faille peu facilement être trouvé par un réparateur de téléphone par exemple .

Tolabd

Comme la brouette, après coup cela paraît simple, l’astuce est qu’il fallait y penser.

_J2B

C’est dommage de faire preuve de légère condescendance en sous-entendant qu’il n’a pas lu l’article. Alors que la réponse à sa question n’est pas dans l’article.
Rien n’indique comment a été fait ce « signalement ».

Blackalf

La modération sait ce qu’il en est de certains membres, et lorsqu’ils créent des comptes à répétition après avoir été suspendus plusieurs fois pour leur attitude, l’indulgence n’est plus de mise. On verra combien de temps le dernier compte en date durera…

MattS32

Non, l’accès au téléphone était bien protégé : le déverrouillage par empreinte digitale est activé (c’est bien dit qu’il faut commencer par le faire échouer trois fois), ce qui implique forcément aussi la présence d’un verrouillage par code (soit sous forme de schéma, soit sous forme de code numérique ou alpha numérique).

C’est simplement un nième cas où certaines fonctionnalités (ici le déverouillage d’une SIM bloquée) sont accessibles volontairement sans déverrouiller le téléphone, mais où une faille permet ensuite de sortir de la fonctionnalité vers l’écran d’accueil sans passer par le déverrouillage. Ça arrive quasiment chaque fois qu’une fonctionnalité est laissée accessible sans déverrouiller (c’est arrivé avec l’appel d’urgence, avec l’appareil photo, avec les notifications…).

gamez

je l’ai lu mais je n’ai pas trouvé donc je suis étonné de ce que tu dis.
bref peux tu mettre en citation de l’article la réponse aux fameuses questions? car elles m’interessent aussi. :slight_smile: