Vous feriez peut-être mieux de ne pas lire cette histoire sur le WiFi public

Nous avons emmené un Hacker dans un café… En 20 minutes il savait où chacun des clients était né, à quelles écoles ils avaient été et quels cours ils avaient suivis ainsi que les 5 dernières recherches Google qu’ils avaient effectuées.

Par Maurits Martijn, tiré du De Correspondent
Traduit du hollandais par Jona Meijers
Illustrations de Kristina Collantes

Dans son sac à dos, Wouter Slotboom, 34 ans, trimbale un petit appareil noir à peine plus grand qu'un paquet de cigarettes et doté d’une antenne. Je le rencontre par chance dans un café du centre d'Amsterdam. C’est une journée ensoleillée et presque toutes les tables sont occupées. Des gens discutent, d'autres travaillent sur leurs ordinateurs portables ou s’amusent avec leurs smartphones.

Wouter retire son ordinateur portable du sac à dos, dépose le petit appareil noir sur la table et le dissimule sous un menu. Une serveuse passe et nous lui demandons deux cafés ainsi que le mot de passe pour le réseau WiFi. Pendant ce temps, Wouter allume son ordinateur portable ainsi que le petit boîtier noir, lance quelques programmes, et bientôt commencent à défiler sur l’écran des lignes de texte vert. Il devient peu à peu évident que le dispositif de Wouter est en train de se connecter aux ordinateurs portables, aux smartphones et aux tablettes des client du café.

Sur son écran, des phrases comme "iPhone Joris" et "MacBook Simone" commencent à apparaître. L'antenne de son dispositif intercepte les signaux qui sont envoyés par les ordinateurs portables, les smartphones et les tablettes autour de nous.

De plus en plus de texte commence à apparaître sur l'écran. Nous sommes en mesure de voir à quels réseaux WiFi tous les appareils étaient connectés au préalable. Parfois, les noms des réseaux sont presque uniquement composés de chiffres et de lettres aléatoires, ce qui rend difficile de les localiser précisément, mais le plus souvent, ces réseaux WiFi renseignent aussi sur l'endroit d’où ils sont émis.

Nous apprenons que Joris était chez McDonald un peu plus tôt, qu’il a probablement passé ses vacances en Espagne (beaucoup de noms de réseaux de langue espagnole), et a fait du kart cet été (il s’était connecté à un site appartenant à un centre de course local bien connu, spécialisé dans les karts). Martin, un autre visiteur café, a été connecté au réseau de l'aéroport de Heathrow ainsi qu’à celui de la compagnie aérienne américaine Southwest. A Amsterdam, il a probablement séjourné au White Tulip Hostel et il est également passé par un café nommé The Bulldog.

1ère Session :

Laisser tout le monde se connecter à notre pseudo-réseau

La serveuse nous apporte nos cafés et nous remet le mot de passe du réseau WiFi. Une fois que Slotboom est connecté, il est en mesure de fournir une connexion Internet à tous les visiteurs, puis de rediriger tout le trafic à travers son petit appareil.

La plupart des smartphones, des ordinateurs portables et des tablettes recherchent automatiquement les réseaux WiFi pour s’y connecter. Ils préfèrent généralement un réseau avec une connexion déjà précédemment établie, de fait, si vous avez déjà ouvert une session sur le réseau T-Mobile dans le train, par exemple, votre appareil va alors rechercher un réseau dans la zone T-Mobile.

L'appareil de Slotboom est capable d'enregistrer ces recherches et d’apparaître sous le nom de ces réseaux WiFi de confiance. Je vois tout à coup s’afficher le nom de mon réseau domestique sur mon iPhone dans “Réseaux Disponibles”, ainsi que celui de mon lieu de travail, et toute une liste de cafés, de halls d'hôtel, de trains et d’autres lieux publics que j’ai visités par le passé. Mon téléphone se connecte alors automatiquement à l’un de ces réseaux, qui sont tous des leurres créés par l'appareil noir.

Slotboom peut aussi diffuser un nom de réseau fictif, faisant croire aux utilisateurs qu'ils sont réellement en train de se connecter au réseau du lieu où ils se trouvent. Par exemple, si un endroit a un réseau WiFi composé de lettres et de chiffres (Fritzbox de XYZ123) aléatoires, Slotboom est en mesure de fournir le nom du réseau (Starbucks). Les gens, dit-il, sont beaucoup plus disposés à se connecter à ces derniers.

De plus en plus de gens se connectent à ces réseaux fictifs. Le chant des sirènes du petit boîtier noir semble absolument irrésistible. Déjà 20 smartphones et ordinateurs portables sont à nous. Si il le désirait, Slotboom pourrait à présent complètement ruiner la vie de ces gens connectés : il peut récupérer leurs mots de passe, usurper leurs identités, et vider leurs comptes en banque. Plus tard dans la journée, il me montrerait comment… Je lui ai en effet donné la permission de me pirater afin de me prouver ce dont il était capable, bien qu’il eût pu le faire avec n’importe qui possédant un smartphone ou un ordinateur connecté au réseau WiFi.

Tout appareil, à quelques exceptions près, peut être craqué.

L’idée selon laquelle le WiFi public n’est pas sécurisé n’est pas nouvelle pour autant. Cependant il est de bon ton de le répéter assez régulièrement. Il y a aujourd’hui environ 1,43 milliards d’utilisateurs de smartphones de par le vaste monde et plus de 150 millions rien qu’aux USA. Plus de 92 millions d’adultes américains possèdent une tablette et plus de 155 millions ont un ordinateur portable. Chaque année la demande en ordinateurs et en smartphones augmente. En 2013, on estime que 206 millions de tablettes et 180 millions d’ordinateurs ont été vendus dans le monde, or toute personne possédant un appareil portable s’est sans doute au moins une fois connectée à un réseau WiFi public : le temps d’un café, dans le train, à l’hôtel…

La bonne nouvelle c’est que certains réseaux sont mieux protégés que d’autres ; certains services de mails ou certains médias sociaux utilisent des méthodes d’encryptage qui sont plus sûrs que leurs concurrents. Mais après avoir passé une journée en ville en compagnie de Wouter Slotboom, vous réaliserez que toute personne connectée à un réseau WiFi peut être piratée. Une étude sur les brèches dans les Systèmes de Sécurité a estimé que plus de 822 millions de données ou d’enregistrements de données ont été piratés dans le monde en 2013, des données confidentielles incluant : numéros de cartes de crédit, dates de naissance, informations médicales, numéros de téléphone, numéros de sécurité sociale, adresses, noms d’utilisateur, adresses email, adresses physiques, noms et mots de passe. Soixante-cinq pourcent de ces données provient des Etats-Unis. D’après une étude par la firme Kaspersky Lab (spécialisés dans la sécurité IT) en 2013, 37,3 millions d’utilisateurs, dont 4,5 millions d’américains ont été victimes de tentatives de “Phishing” (hameçonnage), ce qui signifie que leurs détails de paiement peuvent avoir été volés depuis leur ordinateur piraté, leur smartphone ou leur site web.

Les rapports montrent que la fraude à l’identité numérique est un problème croissant. Les pirates et les cyber-criminels possèdent tout un arsenal de trucs à leur disposition, mais le fait que la plupart des réseaux WiFi soient ouverts et non-protégés leur rend les choses encore plus faciles. Le Netherlands National Cyber ​​Security Center (Centre National Néerlandais pour la Cyber-Sécurité), qui est un département du Ministère de la Sécurité et de la Justice n’aura pas émis ce conseil en vain : “Il est déconseillé d’utiliser les réseaux WiFi publics ouverts dans des lieux publics. Si c’est le cas, nous vous conseillons d’éviter toute activité relative à votre travail et touchant de près ou de loin à vos finances.”

Slotboom se définit lui-même comme un “pirate éthique,” un des bons mecs, comme il dit. Une sorte de mordu de la technologie, sonneur d’alerte et qui veut révéler les dangers potentiels d’Internet de la technologie. Il conseille les gens et les compagnies afin qu’ils se protègent mieux eux-même autant que leurs informations. Il fait cela de la même manière qu’il l’a fait aujourd’hui avec moi, en démontrant comme il est facile de faire des dégâts. Il est vrai que c’est un jeu d’enfant : le petit appareil noir ne coûte pas bien cher et le logiciels pour intercepter le trafic est très ergonomique et téléchargeable à volonté. “Tout ce dont tu as besoin c’est de 70 Euros, d’un QI moyen, et d’un peu de patience,” affirme-t-il. Je m’abstiendrai de rentrer dans le détail des aspects plus techniques tels que l’équipement, le logiciel et les applications nécessaires pour pirater les gens.

2nde Session :

Balayer le nom, les mots de passe, et l’orientation sexuelle

Equipés du sac à dos de Slotboom, nous bougeons pour un autre café connu pour ses fleurs, ses vapeurs de crème et haut-lieu de travail pour beaucoup de Freelancers bossant sur ordinateur. L’endroit est présentement bondé de gens complètement absorbés par leurs écrans…

Slotboom met en route son matériel. Il reproduit les mêmes étapes, et en deux minutes, une vingtaine d’appareils sont connectés au nôtre. De nouveau nous avons accès à leurs adresses Mac, à leurs historiques et même dans certains cas à leur noms d’utilisateur. A ma requête, nous pouvons désormais franchir un cap supplémentaire.

Slotboom lance un autre programme(également téléchargeable à la demande sur le net) qui permet d’extraire encore plus d’informations depuis les ordinateurs ou les smartphones piratés. On peut désormais connaître le modèle du téléphone (Samsung Galaxy S4), la langue définie sur chacun des appareils, et la version du système d’exploitation utilisée (iOS 7.0.5). Si par exemple, un des appareils possède un système d’exploitation qui n’est pas mis à jour, il y a toujours des “bugs” ou des brèches connues dans son système de sécurité, et les exploiter est encore une fois un jeu d’enfant. Avec ce type d’informations, vous avez tout ce qu’il vous faut pour pénétrer le système et prendre le contrôle de l’appareil en question. Un petit scan rapide de tous les utilisateurs du café nous permet de nous rendre compte que pas un d’entre-eux n’utilise la dernière version de son système d’exploitation, or pour tous ces systèmes obsolètes, il existe des bugs listés sur le net.

A présent, nous pouvons voir en temps réel le trafics de quelques personnes autour de nous. On note par exemple que quelqu’un est connecté via un MacBook sur le site Nu.nl. On remarque que beaucoup d’appareils sont en train d’envoyer des documents via WeTransfer, que d’autres se connectent à Dropbox, et que d’autres encore montrent une activité sur Tumblr. Une personne vient de se connecter à FourSquare, et son nom nous apparaît. Il nous suffit ensuite de faire une recherche sur Google… Nous le reconnaissons, c’est la personne assise juste en face de nous à quelques pas.

Le flot d’information ne tarit pas, même concernant des gens qui ne sont pas en train de surfer. Beaucoup de services d’Emails et d’applications sont en contact constant avec leurs serveurs car c’est nécessaire pour recevoir les mises à jour et les nouveaux messages. Pour certains des appareils et/ou des programmes, il nous est possible de voir non seulement l’information qui est envoyée mais aussi vers quel serveur elle l’est.

Et maintenant ça devient vraiment intime… Nous nous apercevons qu’un des utilisateurs a installé l’application de rencontres Gays Grindr sur son smartphone. Nous avons aussi accès au modèle et au nom du smartphone qu’il utilise (iPhone 5s). Nous nous arrêtons là… sans chercher à savoir à qui appartient ce téléphone. Nous remarquons enfin que le téléphone de quelqu’un essaye de se connecter à un serveur en Russie, envoyant son mot de passe du même coup, sans savoir que nous pouvons l’intercepter.

3ème Session :

Obtenir des informations sur le boulot, les passions et les problèmes relationnels

Beaucoup d’applications, de programmes, de sites web et de programmes utilisent une technologie d’encryptage. Cette dernière existe pour sécuriser les échanges d’information et s’assurer qu’elles ne sont pas accessibles à un tiers non-autorisé. Cependant, une fois que l’utilisateur est connecté au petit boîtier noir de Slotboom et son réseau WiFi, ces sécurités peuvent être contournées relativement facilement à l’aide d’un logiciel de décryptage.

A notre grande stupeur, nous repérons une application qui envoie des données personnelles à une société de vente de publicité en ligne. Parmi d’autres choses, nous voyons donc les données géographiques, les détails techniques du téléphone et les informations relatives au réseau Wifi. Nous avons également accès au nom (Nom ET prénom !!!) d’une femme qui utilise le site web Delicious. Delicious permet à ses utilisateurs de partager des sites web —Marque page— qui les intéressent. En principe, les pages que les utilisateurs de Delicious partagent sont accessibles publiquement, nous ne pouvons cependant pas nous empêcher de nous sentir un peu “voyeur” lorsque nous nous rendons compte de tout ce que nous pouvons apprendre sur cette femme à partir de cette base d’information.

Tout d’abord nous tapons son nom dans Google, ce qui nous permet immédiatement de découvrir à quoi elle ressemble et de la localiser dans le café. Nous apprenons qu’elle est née dans un autre pays européen et qu’elle s’est installée plutôt récemment aux Pays-Bas. Par le biais de Delicious nous nous avisons qu’elle a visité un site de cours de néerlandais et qu’elle a consulté et mis un marque page sur un site informatif relatif à l’intégration en Hollande.

En moins de 20 minutes, voilà tout ce que nous avons pu apprendre sur la femme assise à 3 mètres de nous : l’endroit de sa naissance, les écoles où elle a étudié, son intérêt pour le yoga, qu’elle avait “bookmarké” (mis en marque page) une offre en ligne pour des mantras anti-ronflement, qu’elle avait récemment visité la Thaïlande et le Laos, et qu’elle marquait un intérêt certain pour les sites proposant des trucs pour sauver une relation.

Slotboom me montre quelques trucs de pirates supplémentaires. En utilisant une application sur son téléphone, il peut changer des termes bien spécifiques de n’importe quel site. Par exemple, à chaque occurrence du mot “Opstelten” (le nom d’un politicien hollandais), les gens peuvent voir apparaître le nom “Dutroux” (le nom d’un serial-killer pédophile) en lieu et place. Nous avons essayé, et ça marche !!! Nous essayons autre chose : faire que toute personne se connectant à un site contenant des images soit amenée à voir des photos choisies par Slotboom. Tout cela a l’air presque drôle pour faire lorsqu’il s’agit de plaisanteries légères, mais vous pouvez tout aussi bien charger des images de pédophilie sur le téléphone de quelqu’un, or toute détention de ce type de “matériel audiovisuel” est interdite par la loi.

Mot de passe intercepté

Nous visitons à présent un autre café. Mon ultime requête faite à Slotboom est de me montrer ce qu’il pourrait faire si il désirait vraiment me faire du mal. Il me demande alors de me connecter à Live.com (le site mail de Microsoft) et d’entrer un nom d’utilisateur et un mot de passe au hasard. Quelques secondes plus tard, les informations que je viens de taper apparaissent sur son écran. “Maintenant je connais tes détails et identifiants de connexion pour ton compte mail,” me dit Slotboom. “La première chose que je ferais, ce serait de changer ton mot de passe et de dire aux services que tu utilises que j’ai oublié mon mot de passe. La plupart des gens utilisent la même adresse mail pour tous les services. Et ces nouveaux identifiants seraient alors envoyés sur ton adresse mail, ce qui signifie que j’y aurais également accès.” On reproduit le même procédé pour Facebook : Slotboom est encore une fois capable d’intercepter mon identifiant et mon mot de passe sans trop de difficulté.

Une autre astuce que Slotboom utilise est de rediriger mon trafic internet. Par exemple, dès que j’essaye d’accéder à la page web de ma banque, son programme va m’aiguiller sur une de ses pages : un site-clone tout à fait identique à l’original certifié, mais totalement contrôlé par Slotboom. Les pirates appellent cela une usurpation de DNS . Toutes les informations que j’entre sur le site sont stockées sur le serveur hébergé par Slotboom. Dans les 20 minutes il a obtenu les identifiants, y compris les mots de passe de mes comptes chez Live.com, SNS Bank, Facebook et DigiD.

On ne m’y prendra plus… Je ne me connecterai plus jamais à un réseau WiFi public non sécurisé sans avoir pris un minimum de mesures de sécurité.

Cet article a été publié à l’origine sur la plate-forme de journalisme en ligne hollandais, De Correspondent. Tous les noms de cet article sont fictifs, sauf celui de Wouter Slotboom. Nous avons traité les données interceptées avec le plus grand soin et les avons effacées immédiatement après notre dernière rencontre.

Suivez Matter sur Twitter | Likez nous sur Facebook | Souscrivez à notre newsletter