Des chercheurs découvrent de graves failles de sécurité dans des lunettes intelligentes bon marché

Des chercheurs en sécurité ont découvert plus de douze graves vulnérabilités dans deux lunettes intelligentes bon marché, l'application mobile associée et le site web. En raison des problèmes de sécurité, un attaquant pouvant se trouver à portée Bluetooth pouvait accéder à des photos et vidéos stockées et faire prendre de nouvelles photos par les lunettes. Cela ressort d'une recherche réalisée par NSB Cyber et Abstract Shield pour le diffuseur australien ABC.

Les chercheurs ont testé deux lunettes AI coûtant respectivement 60 et 110 dollars australiens. Les deux utilisaient l'application mobile HeyCyan. Selon ABC, des lunettes similaires proposées par divers magasins en ligne semblent également utiliser cette application.

L'un des principaux problèmes concerne la connexion Bluetooth. Lorsque les lunettes étaient allumées et non connectées au téléphone du propriétaire, un autre appareil pouvait se connecter sans mot de passe ni confirmation supplémentaire. Un attaquant aurait ainsi pu devancer le propriétaire et établir lui-même une connexion avec les lunettes. Après avoir établi la connexion, les chercheurs pouvaient copier des photos et vidéos existantes des lunettes. Ils pouvaient également faire prendre de nouvelles photos et enregistrements par l'appareil. De plus, il a été constaté qu'il était possible d'intercepter l'audio et la vidéo lors du transfert entre les lunettes et le smartphone.

Les chercheurs ont également découvert qu'un autre appareil pouvait se faire passer pour les lunettes de la victime auprès de l'application mobile. L'ID Bluetooth d'une paire de lunettes non encore associée était en outre visible pour les appareils environnants. En combinaison avec une vulnérabilité distincte sur le site web, cet ID pouvait être utilisé pour demander l'adresse e-mail et la date de naissance de l'utilisateur.

ABC a déclaré avoir demandé à plusieurs reprises une réaction de l'entreprise derrière l'application, mais n'a reçu aucune réponse. Après que les chercheurs ont partagé leurs découvertes, certaines vulnérabilités semblaient avoir été corrigées. Cependant, selon ABC, la plupart des problèmes de sécurité étaient encore présents au moment de la publication.