Caméras de vidéo surveillance perturbées par des pirates

Deux roumains accusés d’avoir désactivé plus d’une centaine de caméras de vidéo surveillance associée au département de la police métropolitaine de Washington dans les jours qui ont précédé l’investiture du président Trump.

Les pirates informatiques à l’assaut des caméras de vidéo surveillance non sécurisées ! Mihai Alexandru Isvanca, 25 ans, et Eveline Cismaru, 28 ans, deux hommes originaires de Roumanie, ont été arrêtés la semaine dernière à l’aéroport d’Otopeni à Bucarest. Les deux individus sont accusés de « conspiration pour commettre une fraude par câble et conspiration pour commettre diverses formes de fraudes informatiques« . Ils sont accusés par le département de la justice américaine (DoJ) d’avoir illégalement désactivé 123 des 187 caméras de vidéo surveillance associées au département de la police métropolitaine de Washington dans les jours qui ont précédé l’investiture du président Trump. Un piratage qui a débuté le 12 janvier et qui a durée trois jours. L’investiture de Donald Trump a eu lieu le 20 janvier.

Des pros du ransomware

Les arrestations ont été effectuées avec l’aide de l’Unité nationale des crimes de haute technologie du Royaume-Uni, de la National Crime Agency et de la Metropolitan Police du Royaume-Uni, ainsi que de la police nationale roumaine. Les services secrets américains avaient été alertés du piratage et avaient lancé ses limiers pour remonter aux inconnus derrière cette cyberattaque.

Les deux présumés pirates sont connus pour être des utilisateurs de rançongiciels (ransomware). Ils sont accusés, en plus du blocage des caméras, d’avoir ciblé au moins 179 000 adresses mails avec des rançongiciels. Les deux suspects n’ont pas été extradés. Isvanca est toujours en garde à vue au moment de cet article. Cismaru est en résidence surveillée. Ils risquent jusqu’à 20 ans de prison.

Caméra de vidéo surveillance Versus Pirate

D’autre part, le problème de la sécurité des caméras de vidéo surveillance n’est pas nouveau. La protection de tel dispositif est primordial. Derrière ces cerbères, des ordinateurs, des connexions et donc, des accès à d’autres données. Ce 3 janvier, j’ai pu recenser en quelques minutes plus de 1700 caméras de vidéo surveillance non protégées. Des caméras sur le territoire Français. Des jardins, des entrées, des salons, des chambres de particuliers. Mais aussi des « webcams » municipales comme celles de cette ville du Haut-Rhin. L’accès au logiciel de contrôle des caméras n’est pas sécurisé.

Bref, des alliés indirectes pour des pirates et des actes malveillants. Sans parler de la protection de la vie privée des personnes filmées à leur insu (rues, bureaux, boutiques, …). Je vous invite a vous plonger dans la fiche « Vidéo surveillance«  proposée par la CNIL afin de connaître vos droits et devoirs à ce sujet. Ou encore dans l’article sur la facilité de tracer l’adresse physique d’une caméra de vidéo surveillance.

Droits et devoirs de l’utilisateur

Ensuite, comme l’indique la Commission Informatique et des Libertés, les dispositifs permettant de visualiser des images en direct ou enregistrées, ne doivent pas être librement accessibles à l’ensemble des habitants. En règle générale, les images sont consultées uniquement en cas d’incident (vandalisme, dégradation, agression, etc.). Elles ne doivent pas servir à « surveiller » en temps réel les allées et venues des résidents ou des visiteurs. Pour les entreprises, les commerces… Le système ne doit pas être utilisé pour s’assurer que le personnel fait correctement son travail. Il peut toutefois être utilisé pour démasquer un employé qui volerait dans la caisse. Lorsqu’un employé manipule de l’argent, la caméra doit cependant davantage filmer la caisse que le caissier. Enfin, elles ne doivent pas filmer les employés sur leur poste de travail. Une interdiction, sauf circonstances particulières, comme expliquées ci-dessus.

Pendant ce temps, en Italie

Des individus opérant sous la bannière du groupe « Anonymous » ont pris le contrôle, à distance, d’un système informatique de la police locale de Corregio, en Italie. Après avoir effacé la base de données des radars, les pirates ont envoyé des copies d’écran de leur cyberattaque à divers journaux italiens pour prouver qu’ils avaient éliminé 40 gigaoctets de photos. Une attaque qu’ils ont signé d’un « Ho Ho Ho, Merry Christmas«