Une agence fédérale formule des recommandations de sécurité pour l'Internet des objets

Selon les estimations, environ 6 milliards d'appareils étaient connectés à Internet en 2016, écrit Melani dans son rapport semestriel publié jeudi. En 2020, ce nombre devrait être plus de trois fois supérieur, soit environ 20 milliards. Mais "souvent, les fabricants et les utilisateurs ne se préoccupent pas assez des aspects de sécurité".

La manipulation comme danger

Les auteurs du rapport voient un potentiel de danger dans la manipulation de tels systèmes. Dans le secteur de la logistique, où les appareils connectés à Internet ont connu un boom, les dommages causés par la manipulation pourraient être énormes. Le rapport cite un exemple : "Si une logistique de médicaments manipulée livre les médicaments dont on a besoin d'urgence au mauvais endroit, cela peut très vite devenir une question de vie ou de mort". De telles attaques pourraient être utilisées pour extorquer de l'argent ou pour susciter l'insécurité dans la société. Selon des experts cités dans le rapport, certains opérateurs renoncent "tout simplement" à la protection par mot de passe ou cryptage. Des capteurs communiquant sans protection via le réseau se trouvent notamment dans des voitures, des capteurs sismiques, des distributeurs automatiques de billets, des climatiseurs, des luminaires et des appareils médicaux.

Mise à jour et mots de passe importants

Melani a publié des recommandations pour un Internet des objets plus sûr : Avant d'installer des objets connectés au réseau, il faudrait demander des mises à jour logicielles. Non seulement un PC ou un smartphone, mais aussi un interrupteur intelligent ont besoin d'une mise à jour régulière de leur logiciel. Les appareils et objets auxquels on peut accéder avec des données d'accès standard peuvent également présenter des dangers. Selon Melani, ils peuvent être trouvés par n'importe qui. Là aussi, il faut se demander s'il existe des mécanismes de protection - par exemple si les données d'accès prédéfinies par le fabricant peuvent être adaptées.

Les arnaques

Melani recommande à cet effet des mots de passe propres et complexes ainsi que des pare-feux et des segments de réseau séparés pour les appareils de l'Internet des objets. Ces appareils ne devraient pas permettre d'accéder sans autorisation aux données personnelles du réseau interne. Les appareils non utilisés devraient être déconnectés du réseau. Les tentatives de fraude via le réseau ont également été nombreuses au deuxième semestre 2016. Les attaques DDos et les chevaux de Troie de cryptage, par exemple, continuent d'être utilisés pour extorquer de l'argent. La "fraude au PDG" a également été utilisée dans divers cas : les auteurs de cette arnaque demandent aux employés d'effectuer un paiement sur un compte au nom d'un chef d'entreprise. La plupart du temps, ils prétextent une affaire très confidentielle, délicate ou urgente - et l'argent atterrit chez les escrocs.

Prétendument un organisme fédéral

Même la Confédération n'a pas été épargnée : selon le rapport, des services financiers de l'administration fédérale ont également reçu des ordres de paiement. Dans un cas, des malfaiteurs ont imité le site Internet de l'Autorité de surveillance des marchés financiers (Finma) pour déclencher un paiement. Dans un autre cas, des malfaiteurs se sont fait passer au téléphone pour des représentants d'un service fédéral. En se faisant passer pour un service officiel, il est possible d'exercer une plus grande pression sur les victimes pour qu'elles paient, écrit Melani. Même le numéro de téléphone affiché sur l'écran de la victime a été falsifié. En 2016, Melani a reçu des messages concernant plus de 4 500 sites de phishing. Les criminels continuent d'utiliser ce moyen pour obtenir des données de cartes de crédit ou des données d'accès à des services Internet.

Cible indirecte du cyberespionnage

Le rapport Melani s'intéresse également au cyberespionnage. Les attaques contre l'Agence mondiale antidopage et le Tribunal international du sport à Lausanne concernaient indirectement la Suisse. La Suisse étant le siège de nombreuses organisations internationales, le risque d'être exposé à de telles opérations est accru. Une attaque récemment connue a touché trois serveurs de l'Université de Genève entre 2001 et 2003, comme l'écrit Melani en se référant à l'exploitant de réseaux universitaires suisses "Switch". Deux de ces serveurs n'étaient plus actifs depuis 2009. Le troisième aurait été inaccessible de l'extérieur. (ATS)

graphique : Pixabay