Tech&Co
Cybersécurité

Comment votre montre connectée peut faire fuiter votre code secret bancaire

-

- - -

Des chercheurs ont développé une technique permettant de reconstituer les mouvements de la main au millimètre près, en s'appuyant sur les données issues de l'accéléromètre, du gyroscope ou du magnétomètre de ces objets électroniques.

Une montre connectée peut se révéler une mine d’informations surprenantes pour les hackers inventifs. Des chercheurs de de l'Université d'État de New York à Binghamton et de l'Institut de technologie Stevens ont montré qu’il était possible de deviner le code secret bancaire d’un individu à partir des données enregistrées par ses capteurs embarqués, tels que l’accéléromètre, le gyroscope ou le magnétomètre. Ceux-ci traquent en effet en permanence les mouvements de la main du porteur, notamment pour mesurer son activité physique ou déclencher certaines fonctions.

Mais dans un papier scientifique, les chercheurs expliquent avoir développé un algorithme qui, à partir de ces données, permet de reconstituer les mouvements de la main au millimètre près et ainsi d’identifier avec une grande précision les touches que l'on presse lorsqu'on interagit avec un clavier.

Pendant 11 mois, ils ont réalisé 5000 tests avec une vingtaine de personnes sur trois types de claviers, dont celui d'un distributeur de billets. Résultat : ils sont arrivés à deviner les frappes avec une précision de 80 % dès la première fois. Trois essais de la même suite de touches permettent de monter jusqu’à 90 %. Les chercheurs soulignent que leur système ne nécessite ni apprentissage machine, ni information contextuelle pour réussir ce tour de force. Par ailleurs, il pourrait s'appliquer à tout type de clavier: banque, smartphone, PC, digicode, etc.

Deux scénarios d'attaque

Interrogés par Phys.org, les scientifiques estiment qu'il y a principalement deux scénarios d'attaque possibles. Le premier consiste à infecter l'objet connecté par un malware qui va collecter les précieuses informations avant de les transférer au pirate. Le second, beaucoup plus probable, s'appuie sur un matériel d'interception pour capter les échanges entre l'objet connecté et le smartphone. Ce qui n'est pas très compliqué, les connexions Bluetooth étant souvent très mal sécurisées.

Ce n'est pas la première fois que des chercheurs en sécurité se penchent sur ce problème. L'année dernière, à l'occasion de la conférence MobileCom 2015, des chercheurs de l'université d'Illinois Urbana-Champaign ont présenté une technique similaire, mais visiblement moins efficace. Elle ne permettait pas de réellement deviner les frappes, mais seulement de réduire le champ des possibilités.