Pourquoi scanner un AirTag est potentiellement dangereux

Lorsqu'un AirTag est trouvé, il est possible de le scanner pour obtenir des informations de contact de son propriétaire. Or, d'après un expert en cybersécurité, un lien malveillant peut-être glissé dans le numéro de téléphone de contact, créant de fait une vulnérabilité importante.

Va-t-il falloir se méfier d’un AirTag perdu à l’avenir ? C’est ce que semble indiquer une publication du blog Krebs on Security, fondé par un ancien journaliste du Washington Post. Ce dernier a interviewé un expert en cybersécurité, Bobby Rauch, qui explique avoir fait remonter une vulnérabilité importante des AirTag à Apple.

L’idée est simple, et repose sur des ressorts très basiques du comportement humain, comme c’est souvent le cas en cybersécurité. Le site parle de cette vulnérabilité comme d’une attaque du « bon samaritain ».

Comment ça marche

Lorsqu’un AirTag passe en mode perdu, son utilisateur peut générer un lien URL vers Apple et ajouter un message personnel ainsi que son numéro. L’idée étant que si une personne scanne l’appareil perdu avec un smartphone Android ou Apple, elle puisse entrer en contact avec son propriétaire.

Le souci, c’est qu’à l’intérieur du champ dédié au numéro de téléphone, il serait possible d’injecter du code qui permette d’envoyer celui ou celle qui a trouvé l’AirTag vers une fausse page de connexion, prenant l’apparence d’une page iCloud d’Apple. On peut aussi imaginer un lien vers un site qui installe un logiciel malveillant.

Le but même des AirTag étant d’être retrouvé, cette vulnérabilité touche donc à une fonction essentielle de l’appareil.

Pour celles et ceux qui ont vu la saison 1 de Mr. Robot, cela n’est pas sans rappeler la technique employée par les personnages dans la série lorsqu’ils déposent des clés USB devant un bâtiment qu’il souhaite hacker. Dans la série, il suffit qu’une personne rentre la clé dans son ordinateur pour lancer un programme malveillant.

Là, avec ces AirTag potentiellement piégés, il suffirait qu’une personne ciblée scan un traqueur Bluetooth perdu pour être potentiellement en danger de donner ses identifiants Apple ou même de voir son appareil infecté.

Quelles précautions prendre ?

Bobby Rauch, l’expert en sécurité qui a découvert cette faille, affirme avoir contacté Apple le 20 juin dernier à ce propos. Il n’a reçu des nouvelles que jeudi dernier, sous la forme d’un mail. Apple a expliqué prévoir une solution à cette faiblesse dans une mise à jour prochaine, sans plus de précision. La firme à la pomme aurait également demandé à l’expert de ne pas parler publiquement de ce problème.

S’il a décidé de l’évoquer publiquement, c’est parce qu’il se considère floué. Il explique : « Je leur ai dit : “Je suis prêt à travailler avec vous si vous pouvez fournir des détails sur la date à laquelle vous prévoyez de remédier à ce problème, et s’il y aura une reconnaissance ou un paiement.” » Sans réponse de la firme de Cupertino sur ces différents sujets, l’expert a pris les devants.

En attendant qu’Apple règle ce défaut majeur dans leur traqueur Bluetooth, nous ne pouvons que vous conseiller de prendre bien garde à ce qu’affiche votre écran si vous être amené à scanner un AirTag perdu dans les jours à venir. Si une information personnelle vous est demandée, comme votre mot de passe vers iCloud, ne la livrer pas. Si un lien vers un site s’ouvre automatiquement en cliquant sur le numéro, vérifiez qu’aucun téléchargement ne s’est lancé.