Le thermostat Nest hacké lors de la conférence Black Hat

Quatre chercheurs ont montré en direct lors d’une conférence américaine comment pirater un thermostat Nest. La sécurité est certainement le plus gros défi de l’Internet des Objets.

Les deux conférences incontournables pour les hackers ont lieu chaque année en août, à Las Vegas. En parallèle de la DefCon, la conférence Black Hat vient de voir un intervenant démontrer comment hacker un thermostat Nest. Google, qui détient la marque est rapidement intervenu en soulignant que le piratage n’était pas possible à distance, mais uniquement via une modification physique de l’appareil.

Ce sont des chercheurs de l’Université de Floride Centrale qui ont montré en direct comment s’y prendre en attachant une clé USB sur l’appareil en question. Ils ont ensuite accédé au mode développeur pour modifier les lignes de code et afficher toute sorte de messages sur le thermostat. Vous pouvez voir une vidéo Youtube sur le hack ci-dessous.

“For a hacker, [IoT] is a pretty big new target to attack” – Rapport HP

Dans ce discours lors de la conférence Black Hat, les hackers ont souligné les risques autour de l’internet des objets, au nom du confort. En reprenant l’exemple du thermostat, des informaticiens mal intentionnés (qui devront certes au préalable avoir eu un accès physique au matériel) pourraient contrôler la maison, détecter la présence humaine, voire bien plus encore : Google souhaite faire du thermostat Nest son fer de lance avec le programme Works With Nest dont l’objectif est de lier tous les objets connectés – peu importe la marque – autour des appareils du groupe. Une quantité significative de données pourraient transiter par le thermostat. Cet exemple réel rappelle les conclusions effrayantes de l’étude Hewlett Packard publiée plus tôt dans le mois autour de la sécurité des objets connectés.

Google a répondu à ce hack en direct en expliquant que le thermostat Nest était finalement comme les différents ordinateurs ou smartphones, et qu’un accès physique à celui-ci pouvait facilement corrompre leur fonctionnement (il propose à ce sujet d’acheter une caméra Dropcam, société qu’il a lui-même racheté il y a quelques temps…). Il a certainement oublié de mentionner que contrairement aux ordinateurs, il est beaucoup plus difficile de déterminer lorsque son thermostat a été hacké…