Des failles de sécurité découvertes dans les jouets intelligents pour enfants

Cette vulnérabilité permet aux pirates de contrôler le système robotique pour discuter en vidéo avec des enfants sans le consentement des parents. De plus, les risques associés à l'utilisation de ce système robotique ouvrent la voie à d'autres dangers, comme le vol d'informations personnelles des enfants, comme leur nom, leur sexe, leur âge et même leur localisation géographique.

Phát hiện lỗ hổng bảo mật trong đồ chơi thông minh của trẻ nhỏ- Ảnh 1. — Les jouets intelligents peuvent devenir la cible d'attaques de pirates informatiques

Il s'agit d'un robot-jouet Android pour enfants, équipé d'une caméra et d'un microphone. L'intelligence artificielle lui permet de reconnaître et de nommer les enfants, d'adapter automatiquement ses réponses à leur humeur et, au fil du temps, de les connaître. Pour exploiter pleinement ses fonctionnalités, les parents doivent télécharger une application de contrôle sur leurs appareils mobiles. Cette application permet aux parents de suivre l'apprentissage de leur enfant et même de passer des appels vidéo avec lui via le robot.

Lors de la phase d'installation, les parents doivent connecter le robot à leur appareil mobile via Wi-Fi, puis saisir le nom et l'âge de l'enfant. Cependant, les experts de Kaspersky ont découvert une faille de sécurité préoccupante : l'interface de programmation d'application (API) qui demande les informations sur l'enfant est dépourvue de fonction d'authentification, alors qu'il s'agit d'une vérification importante pour confirmer qui est autorisé à accéder aux ressources réseau de l'utilisateur.

Cela présente un risque que les cybercriminels puissent intercepter et voler un large éventail de données, notamment les noms, les âges, les sexes, les pays de résidence et même les adresses IP des enfants, en interceptant et en analysant leur fréquence d’accès au réseau.

Cette vulnérabilité permet à un attaquant d'initier un appel vidéo en direct avec un enfant, contournant ainsi complètement le consentement parental. Si l'enfant accepte l'appel, l'attaquant peut échanger secrètement des informations avec lui sans l'autorisation des parents. Dans ce cas, l'attaquant peut manipuler l'enfant, l'attirer hors de la maison ou l'inciter à commettre des actes dangereux.

De plus, des failles de sécurité dans l'application installée sur l'appareil mobile du parent pourraient permettre à un attaquant de contrôler le robot à distance et d'accéder au réseau sans autorisation. En utilisant des méthodes de force brute pour récupérer le mot de passe à usage unique (OTP) et la fonctionnalité de connexion illimitée, l'attaquant pourrait lier le robot à son propre compte à distance, privant ainsi le propriétaire du contrôle de l'appareil.

Nikolay Frolov, chercheur senior en sécurité chez Kaspersky ICS CERT, a commenté : « Lors de l'achat de jouets connectés, il est important de prendre en compte non seulement leur valeur ludique et éducative , mais aussi leurs fonctionnalités de sécurité. Si l'on pense généralement que des prix plus élevés sont synonymes de meilleure sécurité, il est important de noter que même les jouets connectés les plus chers ne sont pas totalement à l'abri des vulnérabilités exploitables par les pirates. Par conséquent, les parents doivent lire attentivement les avis sur les jouets, toujours mettre à jour les appareils connectés avec les dernières versions et surveiller de près les activités ludiques de leurs enfants. »

Lien source