Selon Consumer Reports, les sonnettes vido bon march, vendues entre 30 et 40 dollars sur des plateformes telles qu'Amazon et Walmart, prsentent des failles de scurit alarmantes. L'enqute a cibl deux marques, Eken et Tuck, qui partagent un matriel similaire produit en Chine par le groupe Eken. Ces camras, revendues sous diffrentes marques, utilisent une application mobile commune, Aiwit, mais partagent galement des vulnrabilits graves. Consumer Reports a identifi des risques tels que l'envoi non crypt d'adresses IP et de noms Wi-Fi, la prise de contrle via le mode d'appairage, et l'accs des images vido en connaissant le numro de srie de la camra. L'absence de code d'enregistrement FCC pour les camras Eken a galement t souligne.Malgr les avertissements, ces produits restent largement disponibles en ligne. Consumer Reports a contact les vendeurs concerns, mais certains continuent de proposer des produits similaires. Des reprsentants de Temu et Walmart ont ragi en cessant la vente des sonnettes signales, mais des modles similaires persistent. Amazon n'a pas encore rpondu aux demandes de commentaires. Cette rvlation souligne les proccupations croissantes quant la scurit et la protection de la vie prive lies aux dispositifs IoT bon march, en dpit des tendances antrieures telles que celles concernant les sonnettes Ring et les camras Eufy.
Dans le cadre de son valuation de routine, Consumer Reports a examin les sonnettes vido Eken et Tuck qui semblaient tre le mme produit sous des noms de marque diffrents. Un examen plus approfondi par les chercheurs de Consumer Reports a rvl des vulnrabilits en matire de scurit. Consumer Reports a galement dcouvert que ces deux produits et au moins 10 autres sonnettes vido apparemment identiques sont vendus sous diffrents noms de marque sur diverses places de march numriques. Ils sont tous fabriqus par une seule socit, Eken Group Ltd, base Shenzhen, en Chine, et contrls par une seule application mobile appele Aiwit, qu'Eken exploite galement.
Voici un aperu des problmes de scurit poss par les sonnettes vido :
- l'exposition des adresses IP et des noms de rseaux WiFi d'un utilisateur Internet sans chiffrement, ce qui peut ouvrir le rseau domestique d'un utilisateur des activits malveillantes ;
- possibilit pour des acteurs malveillants potentiels de prendre le contrle de l'appareil en tlchargeant l'application pour smartphone Aiwit et en mettant la sonnette en mode couplage, ce qui permet un acteur malveillant de prendre possession de l'appareil, de visionner les squences et de verrouiller le propritaire de l'appareil ;
- accs distance aux images fixes du flux vido et d'autres informations sans authentification, en acqurant le numro de srie de la sonnette ;
- l'absence d'un code d'enregistrement qui doit tre visible sur cette catgorie de produits, conformment la rglementation de la Commission fdrale des communications (FCC).
Eken, Tuck et les autres marques ne sont pas des noms trs connus sur le march des sonnettes vido, mais elles se vendent relativement bien en ligne. Les sonnettes apparaissent dans plusieurs listes sur Amazon - nous en avons trouv huit pour la sonnette vido Eken et trois pour la version Tuck du produit. Ces listes ont gnr plus de 4 200 ventes pour le seul mois de janvier 2024. Au cours des derniers mois, les sonnettes vido Eken et Tuck ont souvent port des badges indiquant Amazon's Choice : Choix gnral . Les badges sont apparus mme aprs que Consumer Reports a alert Amazon sur les problmes de scurit.
Justin Brookman, directeur de la politique technologique chez Consumer Reports, a dclar : Ces sonnettes vido de fabricants peu connus prsentent de srieuses failles en matire de scurit et de protection de la vie prive, et elles se sont retrouves sur de grands marchs numriques tels qu'Amazon et Walmart. Les fabricants et les plateformes qui vendent ces sonnettes ont la responsabilit de veiller ce que ces produits ne mettent pas les consommateurs en danger. Les grandes plateformes de commerce lectronique comme Amazon et Walmart doivent mieux contrler les vendeurs et les produits vendus sur leurs plateformes, afin que les consommateurs ne soient pas mis en danger. Il est clair que nous avons besoin de nouvelles rgles pour responsabiliser davantage les vendeurs en ligne.
Des sonnettes vido vulnrables commercialises par Amazon et autres grandes plateformes de vente
Amazon serait en train de commercialiser des sonnettes vido prsentant des vulnrabilits significatives en matire de scurit. Ces appareils sont galement disponibles chez Walmart, Sears, ainsi que d'autres dtaillants, et ces grandes plateformes n'auraient que peu de consquences pour la vente de produits dfectueux. Un aprs-midi de jeudi, une journaliste de Consumer Reports a reu un courrier lectronique avec une image granuleuse d'elle-mme faisant signe une camra de sonnette installe sa porte arrire. Bien que cela aurait pu tre alarmant s'il venait d'un inconnu, il s'est avr tre envoy par Steve Blair, un ingnieur de Consumer Reports spcialis dans les tests de scurit et de confidentialit. Blair avait russi pirater la sonnette une distance de 2 923 km.
Toutes les sonnettes CR values utilisent l'application smartphone Aiwit
Blair avait obtenu des images similaires de sonnettes connectes aux domiciles d'autres employs de CR et d'un appareil dans le laboratoire de test de Yonkers, dans l'tat de New York. Bien que l'accs ces dispositifs ait t anticip, la rception de photos de la terrasse et du jardin du journaliste a suscit une certaine surprise. Aprs tout, les sonnettes vido sont censes aider surveiller les visiteurs la porte, non permettre d'autres de vous observer.
Blair a pu capturer ces images en identifiant, avec son collgue ingnieur d'essai David Della Rocca, des failles srieuses dans cette sonnette et dans d'autres modles vendus sous diffrentes marques mais apparemment fabriqus par le mme fabricant. De plus, ces sonnettes ne portent pas d'identifiant FCC visible, contrairement la rglementation en vigueur, rendant leur distribution illgale aux tats-Unis.
Ces sonnettes vido, potentiellement dangereuses, se vendent en grande quantit chaque mois sur diverses plateformes en ligne, dont Amazon, Walmart, Sears, Shein et Temu. Les experts affirment que ces produits ne sont que la pointe de l'iceberg parmi les nombreux appareils lectroniques bon march et peu srs provenant de fabricants chinois et vendus aux tats-Unis. Des responsables de la rgulation ont dj signal la disponibilit massive sur Amazon de milliers de produits peu srs, allant des vtements de nuit pour enfants potentiellement dangereux aux dtecteurs de monoxyde de carbone et complments alimentaires.
Un risque majeur dcouvert par Consumer Reports
Blair et Della Rocca ont identifi des problmes lors de l'valuation de plusieurs sonnettes vido dans le cadre du programme d'valuation rgulier de Consumer Reports. Ces dispositifs taient commercialiss sous les marques Eken et Tuck. Les deux sonnettes se sont distingues non seulement par leurs problmes de scurit, mais aussi par leur apparente identit, bien que vendues sous des noms de marque diffrents. Des recherches en ligne ont rvl que plus de 10 autres sonnettes, paraissant identiques, taient vendues sous diverses marques, toutes gres par la mme application mobile, Aiwit, appartenant Eken. Deux de ces produits, sous les marques Fishbot et Rakeblue, ont t achets par Consumer Reports, rvlant les mmes vulnrabilits.
Les risques de scurit sont critiques, pouvant permettre des personnes mal intentionnes de prendre le contrle des sonnettes et de surveiller les activits des occupants de la maison. Consumer Reports a tent de contacter les socits Eken et Tuck pour les informer des problmes, mais n'a pas reu de rponse. Les sonnettes exposent l'adresse IP et le nom du rseau WiFi sans chiffrement, ouvrant potentiellement les rseaux domestiques des cybercriminels. Les experts s'inquitent galement de la scurit insuffisante des serveurs stockant les vidos. Ces vulnrabilits sont particulirement proccupantes pour les victimes de violence domestique, exposant leur domicile une surveillance indsirable.
Les failles de scurit permettraient toute personne ayant un accs physique une sonnette de prendre le contrle de l'appareil sans comptences en piratage. Le scnario d'un ex-petit ami violent surveillant les alles et venues de sa cible a t illustr, soulignant le danger potentiel de ces dispositifs mal scuriss. La mthode d'appairage utilise par ces sonnettes, qui ne ncessite pas de mot de passe ou de compte, peut permettre des harceleurs d'accder distance aux images vido mme aprs avoir perdu l'accs initial. L'absence de contrles d'accs de base suscite des inquitudes quant la scurit de ces dispositifs connects, mettant en danger la vie prive des utilisateurs.
Des sonnettes video vulnerables commercialisees par amazon et autres grandes plateformes de vente
Amazon serait en train de commercialiser des sonnettes vido prsentant des vulnrabilits significatives en matire de scurit. Ces appareils sont galement disponibles chez Walmart, Sears, ainsi que d'autres dtaillants, et ces grandes plateformes n'auraient que peu de consquences pour la vente de produits dfectueux.
Un aprs-midi de jeudi, une journaliste de Consumer Reports a reu un courrier lectronique avec une image granuleuse d'elle-mme faisant signe une camra de sonnette installe sa porte arrire. Bien que cela aurait pu tre alarmant s'il venait d'un inconnu, il s'est avr tre envoy par Steve Blair, un ingnieur de Consumer Reports spcialis dans les tests de scurit et de confidentialit. Blair avait russi pirater la sonnette une distance de 2 923 km.
Blair avait obtenu des images similaires de sonnettes connectes aux domiciles d'autres employs de CR et d'un appareil dans le laboratoire de test de Yonkers, dans l'tat de New York. Bien que l'accs ces dispositifs ait t anticip, la rception de photos de la terrasse et du jardin du journaliste a suscit une certaine surprise. Aprs tout, les sonnettes vido sont censes aider surveiller les visiteurs la porte, non permettre d'autres de vous observer.
Blair a pu capturer ces images en identifiant, avec son collgue ingnieur d'essai David Della Rocca, des failles srieuses dans cette sonnette et dans d'autres modles vendus sous diffrentes marques mais apparemment fabriqus par le mme fabricant. De plus, ces sonnettes ne portent pas d'identifiant FCC visible, contrairement la rglementation en vigueur, rendant leur distribution illgale aux tats-Unis.
Ces sonnettes vido, potentiellement dangereuses, se vendent en grande quantit chaque mois sur diverses plateformes en ligne, dont Amazon, Walmart, Sears, Shein et Temu. Les experts affirment que ces produits ne sont que la pointe de l'iceberg parmi les nombreux appareils lectroniques bon march et peu srs provenant de fabricants chinois et vendus aux tats-Unis. Des responsables de la rgulation ont dj signal la disponibilit massive sur Amazon de milliers de produits peu srs, allant des vtements de nuit pour enfants potentiellement dangereux aux dtecteurs de monoxyde de carbone et complments alimentaires.
Justin Brookman, directeur de la politique technologique chez Consumer Reports, souligne la ncessit pour les grandes plateformes de commerce lectronique, telles qu'Amazon, d'assumer une plus grande responsabilit quant aux dommages causs par les produits qu'elles vendent. Il suggre qu'elles pourraient faire davantage pour superviser les vendeurs et traiter les plaintes, au lieu de simplement s'appuyer sur leur rputation et laisser des produits dfectueux entre les mains de consommateurs mal informs.
Pour crer leurs produits, ces entreprises peuvent s'inspirer d'un modle de rfrence d'une socit de puces qui fabrique les cerveaux des appareils lectroniques, acheter les composants lectroniques ncessaires dans des usines voisines, fabriquer un botier en plastique bon march, puis assembler le produit final. Selon Huang, certaines entreprises chinoises peuvent assembler un nouvel appareil lectronique en deux semaines seulement. Toutefois, ce type de dveloppement rapide et bon march ne se prte pas la cyberscurit, selon Steve Hanna, responsable de la stratgie et de la technologie de scurit de l'IdO chez Infineon Technologies, une socit de semi-conducteurs.
Il est toujours vrai que construire un produit plus sr cote plus cher , explique-t-il, mais pour de nombreuses entreprises IoT bas prix, il n'y a gure d'incitation conomique inclure la scurit, car elle est invisible pour la plupart des consommateurs. Si ces produits n'ont pas t contrls par Amazon, pourquoi reoivent-ils le label Amazon's Choice ? Selon une FAQ de l'entreprise, cette dsignation est base sur l'valuation, le prix, la popularit, la disponibilit du produit et la rapidit de livraison . Elle est gnre dynamiquement par un algorithme et peut apparatre soudainement, puis disparatre tout aussi rapidement.
Temu a dclar par courriel qu'elle examinait les conclusions de Consumer Reports et qu'elle avait retir de son site Web toutes les sonnettes vido utilisant l'application Aiwit et fabriques par Eken, mais que des sonnettes d'apparence similaire, voire identiques, restaient sur le site. Walmart a indiqu CR par courriel qu'il s'attendait ce que les produits vendus sur son march soient srs, fiables et conformes nos normes et toutes les exigences lgales . Les articles identifis comme ne rpondant pas ces normes ou exigences seront rapidement retirs du site web et resteront bloqus. la mi-fvrier, il tait encore possible d'acheter les sonnettes vido sur Walmart. Amazon, Sears et Shein n'ont pas rpondu aux questions des journalistes de la CR.
Consumer Reports demande la FTC de mettre fin la vente en ligne de ces sonnettes vido et invite les dtaillants en ligne prendre des mesures pour garantir la qualit des produits qu'ils vendent, comme le feraient les supermarchs ou les grands magasins. Amazon, Walmart et les autres dtaillants en ligne devraient ragir avec force lorsque des problmes sont dcouverts, notamment en contactant les clients qui ont achet des articles qui se sont rvls nocifs.
La CR a galement envoy une lettre la FTC, la Federal Communications Commission et au bureau du procureur gnral de Californie pour les alerter sur les failles de scurit associes ces sonnettes. Les autorits de rgulation ont dj affirm que des milliers de produits dangereux, notamment des vtements de nuit pour enfants, des dtecteurs de monoxyde de carbone et des complments alimentaires, taient largement disponibles sur Amazon.
Note de la FCC sur les exigences d'tiquetage des quipements
Les informations d'tiquetage et de conformit requises pour un produit sont dtermines par la procdure d'autorisation de l'quipement conformment aux rgles spcifiques de la FCC applicables ce produit. La FCC propose deux procdures d'autorisation des quipements : la Dclaration de Conformit du Fournisseur (SDoC) et la Certification.
Les rgles de la FCC qui s'appliquent l'appareil RF autoris prcisent la procdure d'autorisation de l'quipement utiliser. Les exigences en matire d'tiquetage pour l'appareil RF varient en fonction du type d'autorisation d'quipement utilis. Pour les dispositifs composites, comprenant la fois des metteurs radio et des circuits numriques, le SDoC peut tre utilis pour la partie circuit numrique et la certification pour la partie metteur. Cependant, la certification peut galement servir dmontrer la conformit la fois de l'metteur et des circuits numriques.
Dclaration de Conformit du Fournisseur (SDoC)
Identification du produit
Les exigences relatives l'identification du produit (tiquetage) et aux informations de conformit pour un dispositif soumis au SDoC exigent que chaque dispositif soit identifi de manire unique, utilisant par exemple une tiquette mentionnant un nom commercial et un numro de type ou de modle. Les utilisateurs finaux doivent recevoir une dclaration de conformit pour le produit.
L'identifiant unique peut prendre diverses formes, telles qu'un nom commercial et un numro de type, un numro de modle, un numro de srie, ou tout autre moyen interne utilis lors du processus de fabrication.
Informations de conformit
Une dclaration d'informations de conformit doit tre fournie avec le produit au moment de la commercialisation ou de l'importation. Elle comprend l'identification du produit (nom commercial, modle, etc.), une dclaration de conformit aux rgles pertinentes, le nom, l'adresse, le numro de tlphone ou les coordonnes Internet du contact de la partie responsable situe aux tats-Unis.
Informations relatives la conformit des produits assembls
Conformment la loi, les points suivants s'appliquent aux produits assembls partir de composants modulaires autoriss en vertu du SDoC ou d'une certification. Ils doivent tre accompagns d'une dclaration de conformit contenant l'identification du produit assembl, l'identification des composants modulaires autoriss utiliss, une dclaration de conformit aux rgles appropries, et les coordonnes de la partie responsable ayant effectu l'assemblage. Pour les dispositifs SDoC, la partie responsable doit tre situe aux tats-Unis, et des copies des dclarations d'information sur la conformit pour chaque composant modulaire autoris doivent tre fournies.
Certification
Afin d'obtenir la certification, le produit doit comporter une plaque signaltique ou une tiquette portant l'identifiant FCC (FCC ID). L'identifiant FCC doit toujours tre accessible pendant l'utilisation du produit. Il doit tre physiquement prsent sur le produit, moins qu'une tiquette lectronique ne soit utilise. Les tiquettes physiques d'identification FCC doivent tre positionnes sur la surface du produit ou dans un compartiment non dtachable accessible l'utilisateur, tel que le compartiment piles. Cette tiquette doit tre solidement appose de manire permanente, garantissant une identification certaine de l'appareil. La police de caractres doit tre aisment lisible et proportionne aux dimensions de l'quipement et de la zone d'tiquetage.
Si le dispositif est de taille rduite ou destin une utilisation particulire ne permettant pas l'application d'une tiquette avec une taille de police de quatre points ou plus (et que le dispositif n'utilise pas d'tiquetage lectronique), l'identifiant FCC doit figurer dans le manuel de l'utilisateur. L'identifiant FCC doit galement tre prsent sur l'emballage du dispositif ou sur une tiquette amovible.
tiquetage lectronique
Les produits quips d'un cran intgr ou ne fonctionnant qu'avec un autre produit dot d'un cran lectronique peuvent afficher sur cet cran l'identifiant FCC, les avertissements ou toute autre information requise par les rgles de la Commission.
Informations sur l'emballage
L'emballage de certains dispositifs RF doit contenir des informations E-Label. Les dispositifs affichant leur identifiant FCC, des avertissements ou d'autres informations par voie lectronique doivent tre tiquets, soit sur le dispositif, soit sur son emballage, avec l'identifiant FCC et d'autres informations (telles qu'un numro de modle) permettant d'identifier les dispositifs lors de l'importation, de la commercialisation et de la vente comme tant conformes aux exigences d'autorisation d'quipement de la FCC.
Cette exigence s'ajoute l'tiquetage lectronique du dispositif. Les dispositifs peuvent tre tiquets l'aide d'une tiquette autocollante, d'une tiquette imprime sur l'emballage, d'une tiquette sur un sac de protection ou par d'autres moyens similaires. Toute tiquette amovible doit tre conue pour rsister une expdition et une manipulation normale et ne doit tre retire par le client qu'aprs l'achat. Pour les amplificateurs de signaux, les avis doivent tre inclus dans les documents de commercialisation en ligne, le manuel d'utilisation, les instructions d'installation imprimes ou en ligne, l'emballage extrieur de l'appareil et sur une tiquette appose sur l'appareil.
Comment les entreprises chinoises sduisent Amazon malgr les problmes de scurit
Au cours des derniers mois, les sonnettes vido Eken et Tuck ont frquemment affich le badge Amazon's Choice malgr les problmes de scurit signals Amazon par CR. Pour de nombreux acheteurs, ce label peut laisser penser qu'Amazon a consciemment slectionn et recommand cette sonnette vido en raison de sa qualit. Cependant, la ralit est diffrente.
Au cours des derniers mois, les sonnettes vido Eken et Tuck vendues sur Amazon ont souvent port le label Amazon's Choice : Choix gnral
Comme plus de 60 % des articles vendus sur Amazon, les produits d'Eken sont mis en ligne par des vendeurs indpendants, Amazon se chargeant gnralement des services logistiques tels que l'entreposage, l'expdition et les retours. Tout individu peut vendre presque n'importe quel produit sur Amazon, qui a gnr environ 140 milliards de dollars de chiffre d'affaires avec des vendeurs tiers en 2023.
Cette approche offre aux acheteurs une large gamme de produits, mais elle peut galement rendre difficile la comprhension de ce que l'on achte et qui est le vendeur. Les dix marques de sonnettes, ainsi que l'application Aiwit, semblent appartenir une socit de 18 ans appele Eken Group Ltd, base Shenzhen, en Chine, avec un bureau en Californie du Sud situ dans un appartement Temple City.
Pour de nombreuses entreprises technologiques chinoises, la stratgie de vendre du matriel bon march sous diffrentes marques peut stimuler les ventes dans une catgorie de produits trs populaire, jusqu' ce qu'elle ne le soit plus. C'est ce que souligne Andrew Huang, ingnieur mrite et expert en logiciels, auteur de The Essential Guide to Electronics in Shenzhen (Le guide essentiel de l'lectronique Shenzhen). Selon Huang, ces entreprises adoptent une approche agile, changeant de produit en fonction des tendances du march.
Huang explique que pour le march des camras de scurit, la marque est davantage un lment de marketing, ralisant quelques ajustements esthtiques, mais n'ayant pas ncessairement de stocks importants, leur existence fluctuant selon les tendances du march des matires premires. Pour dvelopper leurs produits, ces entreprises peuvent s'inspirer de modles de rfrence de socits de puces lectroniques, acheter des composants lectroniques dans des usines locales, fabriquer un botier en plastique peu coteux, puis assembler le produit final. Selon Huang, certaines entreprises chinoises peuvent assembler un nouvel appareil lectronique en seulement deux semaines.
Cependant, cette approche de dveloppement rapide et conomique ne favorise pas la cyberscurit, selon Steve Hanna, responsable de la stratgie et de la technologie de scurit de l'IdO chez Infineon Technologies, une socit de semi-conducteurs. Il souligne que la cration d'un produit plus sr implique des cots supplmentaires, mais pour de nombreuses entreprises IoT bas prix, l'incitation conomique inclure la scurit est minime, car elle demeure invisible pour la plupart des consommateurs.
En ce qui concerne l'attribution du label Amazon's Choice ces produits, mme s'ils ne sont pas vrifis par Amazon, l'entreprise explique que cette dsignation repose sur des critres tels que l'valuation, le prix, la popularit, la disponibilit du produit et la rapidit de livraison. Elle est gnre dynamiquement par un algorithme, apparaissant et disparaissant de manire spontane.
Quelques conseils l'intention des utilisateurs
Si vous possdez l'une de ces sonnettes, Consumer Reports conseille de la dconnecter de votre rseau WiFi domestique et de la retirer de votre porte. L'valuation de CR a mis en avant des sonnettes vido plus scurises de marques telles que Logitech, SimpliSafe et Ring, proprit d'Amazon. De manire plus gnrale, ne prsumez pas que les grandes plateformes de vente en ligne ont valu la scurit de tous les produits qu'elles proposent. Au fil des ans, des agences fdrales et des journalistes ont signal divers produits dangereux ou illgaux en vente sur Amazon.
En cas d'achat de produits dfectueux auprs d'un magasin local, celui-ci pourrait tre tenu responsable des dommages ou des amendes. Cependant, Amazon a prcdemment affirm ne pas tre responsable des articles vendus par des tiers sur sa plateforme, considrant ces vendeurs comme une simple socit logistique. La Commission de la scurit des produits de consommation conteste cette position et envisage de classer officiellement la place de march comme un distributeur de biens ayant des responsabilits similaires celles des dtaillants traditionnels. Si cette ordonnance est adopte, elle pourrait influencer d'autres places de march en ligne.
En attendant, Consumer Reports appelle les dtaillants en ligne prendre des mesures pour garantir la qualit des produits sur leurs plateformes. CR plaide galement en faveur d'une lgislation rendant les plateformes en ligne strictement responsables de la vente de produits dfectueux et encourage l'tablissement de lois qui exigent clairement des dtaillants qu'ils prennent des mesures raisonnables pour viter la vente de produits nocifs, frauduleux ou non scuriss sur leurs plateformes.
Consumer Reports a galement partag ses conclusions sur les sonnettes vido avec la Commission fdrale du commerce, qui a le pouvoir de retirer de tels produits du march. L'agence n'a pas comment les mesures envisages, soulignant que ses enqutes sont confidentielles. Justin Brookman de CR souligne la ncessit pour les rgulateurs d'intervenir davantage contre la prolifration de produits indsirables sur le march, en ciblant tant les fabricants que les plateformes de vente qui les recommandent explicitement.
Sources : Consumer Reports (1, 2), FCC
Et vous ?
Quel est votre avis sur le sujet ?
Les conclusions du rapport de CR sont-elles pertinentes ?
Voir aussi :
