Des étudiants piratent des machines à laver connectées pour des cycles gratuits
Découverte d’une faille de sécurité dans les machines à laver connectées à Internet
Deux étudiants de l’UC Santa Cruz ont récemment découvert un moyen de contourner les contrôles de sécurité des serveurs de CSC ServiceWorks, permettant ainsi d’obtenir des cycles de lavage gratuits sur les machines à laver connectées à Internet de l’entreprise.
De nos jours, la connectivité à Internet est omniprésente. Récemment, un utilisateur a découvert que sa machine à laver LG envoyait des gigaoctets de données chaque jour. Les machines à laver de CSC nécessitent que les utilisateurs téléchargent l’application, créent un compte et ajoutent des fonds pour utiliser les cycles de lavage. Les étudiants ont trouvé une faille de sécurité dans l’application qui permettait aux serveurs d’autoriser les cycles de lavage, même pour les comptes qui n’avaient pas de fonds. Ils ont également réussi à ajouter des crédits de plusieurs millions de dollars dans l’un de leurs comptes, visibles dans l’application mobile CSC Go.
Une entreprise de grande envergure touchée
CSC ServiceWorks est une entreprise présente aux États-Unis, au Canada et en Europe, offrant ses services à diverses communautés résidentielles, stations-service, magasins de proximité, hôtels, blanchisseries, collèges et universités. Malgré son immense réseau, l’entreprise n’avait pas de page permettant de signaler des failles de sécurité. Les étudiants ont contacté l’entreprise en janvier, mais n’ont reçu aucune réponse.
Après avoir attendu plusieurs mois, les étudiants ont publié leur rapport au sein de leur club de cybersécurité. Bien que CSC ait annulé les crédits dans les comptes des étudiants, la faille de sécurité n’a pas été corrigée, laissant place à des actes malveillants potentiels.
La faille de sécurité exposée par les étudiants pourrait non seulement entraîner des pertes financières pour l’entreprise, mais également créer un danger incendie en contournant les restrictions de sécurité. Sans correctif, il ne fait aucun doute que des individus malveillants pourraient exploiter cette vulnérabilité à leurs propres fins.
Source : www.tomshardware.com
