Une faille dans le réseau Find My d'Apple permet à des pirates de suivre vos appareils Bluetooth à votre insu.
Des chercheurs de l'Université George Mason ont découvert une vulnérabilité dans le réseau Find My d'Apple qui permet aux pirates de suivre furtivement n'importe quel appareil Bluetooth.
Voici ce que nous savons
Le réseau Find My, conçu pour suivre des appareils et des accessoires tels que AirTag, peut désormais être utilisé pour suivre des personnes. Les pirates peuvent transformer n'importe quel appareil, tel qu'un téléphone ou un ordinateur portable, en AirTag à l'insu de son propriétaire. Cela permet de localiser l'appareil à distance.
Le réseau Find My fonctionne en envoyant des messages Bluetooth de l'AirTag et d'autres traceurs aux appareils Apple proches, qui transmettent anonymement les informations de localisation au propriétaire via les serveurs d'Apple. Les chercheurs ont trouvé un moyen de faire en sorte que le réseau Find My suive n'importe quel appareil Bluetooth en utilisant la bonne clé.
L'exploit, appelé nRootTag, a un taux de réussite élevé de 90 % et ne nécessite pas une élévation compliquée des privilèges d'administrateur. Lors d'une expérience, les chercheurs ont pu localiser un ordinateur à 3 mètres près, ce qui leur a permis de suivre une bicyclette se déplaçant dans une ville.
Les chercheurs ont signalé la vulnérabilité à Apple en juillet 2024 et ont recommandé que le réseau Find My soit mis à jour pour mieux tester les appareils Bluetooth. Apple a reconnu le problème, mais ne l'a pas encore corrigé. La société n'a même pas fourni de détails sur la manière dont elle le fera.
Les chercheurs ont ajouté que la correction de la vulnérabilité pourrait prendre des années, car de nombreuses personnes ne mettent pas leurs appareils à jour immédiatement après la publication d'un nouveau logiciel par Apple. Les experts conseillent de ne jamais autoriser un accès inutile aux appareils Bluetooth lorsque des applications le demandent et de toujours installer les nouveaux logiciels du fabricant.
Source : Université George Mason
