Journalistes hackés à Sotchi : beaucoup de FUD

C’est un reportage qui a beaucoup circulé cette semaine. La chaîne d’informations américaine NBC a voulu démontrer à quel point il était dangereux de se rendre à Sotchi avec ses propres smartphones ou ordinateurs portables, non pas en raison des mesures de surveillance électronique dantesques mises en place par la Russie, mais en raison d’une armée de hackers qui passerait son temps à pirater le moindre appareil connecté à un réseau Wifi.

« Vous êtes exposés dès que vous essayez de communiquer avec quoi que ce soit« , assure le reporter qui s’est rendu aux Jeux Olympiques accompagné d’un expert en sécurité. Pour les besoins de la démonstration, les deux complices ont créé une fausse liste de contacts injectée sur un Macbook et un smartphone Samsung, tout juste achetés pour l’occasion. Ils se connectent ensuite sur un réseau Wifi dans un bar et « presque immédiatement, nous avons été hackés« . « Un logiciel malicieux a détourné notre téléphone avant-même que nous ayons fini notre café, volant nos informations, et donnant aux hackers la possibilité d’écouter et enregistrer mes appels » :

https://youtube.com/watch?v=waEeJJVZ5P8%3Ffeature%3Dplayer_embedded

Effrayant. Mais largement faux ou très exagéré, comme le fait remarquer un autre expert en sécurité, Robert Graham, visiblement beaucoup plus sérieux.

Il faut en effet regarder la vidéo avec attention et peser tous les mots pour se rendre compte que le journaliste ne ment jamais, mais passe rapidement sur des « détails » qui rendent le reportage largement bidonné :

• Le journaliste et son expert n’étaient pas aux Jeux Olympiques à Sotchi mais tranquillement assis dans un bar situé à Moscou, à plus de 1600 km de distance des installations olympiques ;
• En réalité ils auraient pu faire strictement le même reportage depuis New-York ou Paris, puisque le journaliste visite une page web vérolée d’un site internet quelconque consacré aux Jeux Olympiques. Un code malicieux avait été inséré sur cette page, pour provoquer le téléchargement du malware. Le journaliste est-il tombé par hasard sur cette page d’un hacker ou a-t-il été guidé par l’expert en sécurité qui en connaissait l’existence ?
• Le téléchargement du malware ne suffit pas à hacker le téléphone. Il faut encore installer l’application, ce qu’un utilisateur normalement prudent ne ferait pas.

Cela ne veut certainement pas dire qu’il n’y a pas de hackers à Sotchi, et qu’il ne faut pas utiliser ses appareils avec beaucoup de prudence, mais ce n’est en tout cas pas ce reportage qui peut prouver quoi que ce soit. Un cas typique de FUD.