Autopsie de la vraie fausse attaque de trois millions de brosses à dents connectées

Panique dans la salle de bain. Imaginez un peu : 3 millions de brosses à dents connectées utilisées pour faire tomber un site Internet. C’est dans l’air du temps avec des objets connectés trop souvent mal sécurisés et utilisés dans des botnets pour mener des attaques. Problème l’histoire est fausse. Elle mélange fiction et réalité. Explications.

Pour comprendre l’emballement autour de cette histoire, et surtout pourquoi Fortinet est pointé du doigt, il faut remonter au 30 janvier. Le média Suisse Aargauer Zeitung (appartenant au groupe AZ Medien) publie un article – en allemand et derrière un paywall – intitulé « les brosses à dents attaquent ».

Le papier se base sur des informations fournies par des experts de la société spécialisée dans la cybersécurité Fortinet. On y retrouve notamment des citations de Stefan Züger, directeur ingénierie systèmes de l’entreprise, et Achim Freyer country manager de Fortinet en Suisse.

L’information est reprise le 4 février par Tarnkappe.info, lui aussi en langue allemande. Puis c’est au tour de Golem.de le 6 février, toujours en allemand. L’histoire commence à prendre de l’importance, Golem étant un site relativement suivi. Les brosses à dents débarquent dans la foulée sur TomsHardware.com et l’emballement commence.

Une semaine après la mise en ligne, un communiqué rectificatif

Nos confrères reprennent les informations contenues dans l’article original et indiquent ainsi : « Le rapport de la source indique que cette armée considérable [de brosses à dent] connectées a été utilisée dans une attaque DDoS sur le site web d’une entreprise suisse. Le site s’est effondré sous la pression de l’attaque, ce qui aurait entraîné la perte de millions d’euros d’activité ».

Ce n’est pas le site qui s’est effondré, mais l’attaque des brosses à dent.

Dans la nuit du 7 au 8 février, TomsHardware publie une mise à jour suite à un communiqué envoyé par Fortinet (d’autres médias ont eu le même message) : « Pour clarifier, le sujet des brosses à dents utilisées pour les attaques DDoS a été présenté lors d’une interview comme une illustration d’un type d’attaque possible, et n’est pas basé sur des recherches de Fortinet ou de FortiGuard Labs ».

C’est la faute aux traductions

L’entreprise ajoute qu’elle « n'a pas observé Mirai ou d'autres botnets IoT ciblant les brosses à dents ou des appareils similaires ». Que s’est-il alors passé ? « Il semble qu’en raison des traductions », la fiction se soit mélangée avec la réalité. On peut aussi dire qu’il s’agit de faire passer des vessies pour des lanternes. Bref, cette attaque n’est pas la réalité, mais une supposition de ce qui pourrait arriver. Golem se met à jour dans la foulée, mais toujours pas Tarknkappe.info.

Aargauer Zeitung aussi a publié une mise à jour, mais impossible de la voir si on n’est pas abonné. La date de publication de l’article (30 janvier) ne change pas, tandis que l’indication de la mise à jour d’une phrase (avec une *) et le bloc de mise à jour (tout à la fin de l’article) sont dans la partie accessible aux seuls abonnés.

Erreur de traduction pour Fortinet, erreur de Fortinet selon le média Suisse

Il est désormais indiqué : « L’exemple, qui ressemble à un scénario hollywoodien, pourrait devenir réalité* ». L’« * » renvoie à ceci (via une traduction DeepL/Google Traduction) : « À l'origine, l'article indiquait que le cas "s'était réellement produit". Cette information provenait de l'entreprise Fortinet, qui avait décrit le cas comme réel lors d'un entretien et avait relu l'article avant sa publication. Fortinet corrige maintenant cette affirmation et parle d'un "scénario hypothétique" ».

Aargauer Zeitung affirme donc que l’erreur vient de Fortinet, qui a non seulement affirmé que l’attaque des brosses à dents s’était bien déroulée mais que, en plus, la société avait relu et donc validé l’article avant sa publication. Il serait de plus surprenant que Fortinet, Achim Freyer et/ou Stefan Züger n’aient pas relu l’article une fois en ligne.

Vous avez demandé Fortinet… veuillez encore patienter

L’article a été publié le 30 janvier et la mise à jour n’est arrivée qu’une semaine plus tard, une fois que l’emballement médiatique a commencé… avec probablement son lot de questions de chercheurs, experts et journalistes à Fortinet pour avoir des détails. Fortinet aurait eu le temps de corriger le tir avant, mais ne l’a pas fait.

Plusieurs médias – notamment 404 Media et BleepingComputer – ont essayé de contacter Fortinet et les dirigeants cités dans l’article initial, mais n’ont obtenu aucune réponse. « L’auteur de l’article de l’Aargauer Zeitung n’a pas non plus répondu à une demande d’informations supplémentaires », précise 404 Media.

Une « belle » histoire… trop belle pour être vraie ?

Chez Next, nous avons évidemment vu passer cette information – difficile de faire autrement vu l’emballement au cours des derniers jours, que ce soit dans les médias traditionnels, sur les réseaux sociaux ou chez les créateurs de contenus.

L’histoire est « belle » (comprendre qu’elle donne envie de cliquer/écouter) et fait peur. Nous avons rapidement décidé de la laisser de côté. Plusieurs raisons. Tout d’abord, on ne parle pas allemand, compliqué pour être sûr de comprendre la source, même si l’article de nos confrères suisses indiquait de toute façon au début que l’attaque avait bien eu lieu.

Mais surtout, d’autres éléments sont troublants : aucune information sur le groupe de pirates derrière cette attaque (ni même sur son origine), sur la période où cela s’est déroulée, sur la marque de brosses à dents connectées dont au moins trois millions d’exemplaires ont été vendus, etc. De plus, les brosses à dents connectées sont généralement Bluetooth pour se connecter à un smartphone, elles ne sont pas directement reliées à Internet.

Certes, ce ne sont pas des preuves que l’histoire des trois millions de brosses à dents zombies était fausse, mais autant d’éléments qui soulevaient des questions et méritaient des réponses (au moins partielles) avant d’aller de l’avant.

Les brosses à dents connectées peuvent par contre présenter des risques de sécurité, comme l’expliquait il y a quelques années Axelle Apvrille de… Fortinet. Elle présentait ses travaux au Symposium sur la sécurité des technologies de l'information et des communications de 2017. Un article a aussi été mis en ligne. En 2018, rebelote avec une nouvelle présentation où elle expliquait pouvoir augmenter la vitesse de rotation de la brosse à dents et même mettre hors service la brosse à dents à distance.

Malwarebytes se moque, les hackers pro-russes NoName057(16) en profitent

Cette affaire a, en tout cas, inspiré Malwarebytes qui a publié un billet de blog pour l’occasion, comme le rapporte le chercheur en cybersécurité Kévin Beaumont. Intitulé « Comment savoir si votre brosse à dents est utilisée lors d’une attaque DDoS », le contenu est des plus courts et explicite : « Ce n’est pas le cas ». Fin du message.

Kévin Beaumont ajoute enfin que cette attaque hypothétique est « utilisée comme propagande dans les groupes Telegram russes ». Le groupe de pirates pro-russes NoName057(16) qui développe le malware DDoSia se demande ouvertement « qui a infecté des milliers de brosses à dents intelligentes avec notre logiciel ». La réponse simple : personne puisque l’attaque n’existe pas. Une occasion de se taire de perdue.

Cette histoire n’est dans tous les cas pas sans conséquence pour Fortinet. Le 6 février, le cours de l’action a pris… 15 % de plus passant de 66 à 76 dollars. Il est depuis revenu à 68 dollars.