L’entreprise taïwanaise Asus a conclu un accord avec la FTC pour subir des audits indépendants pendant vingt ans sur certains de ses produits. Des problèmes de sécurité avaient été décelés.

Asus n’en a pas fait assez pour la sécurité de ses routeurs et de ses services dans le cloud. C’est pour cette raison que la FTC, une agence américaine contrôlant le bon respect du droit de la consommation, a proposé un deal avec le fabricant taïwanais : la fin de la procédure administrative lancée à son encontre contre la signature d’un accord imposant des audits indépendants pendant 20 ans.

C’est essentiellement le décalage entre le discours et les actes qui est visé par la FTC, même si la gravité des vulnérabilités constitue déjà en soi un motif de sanction. En effet, l’agence fait remarquer que le marketing déployé par Asus pour vanter la qualité de ses produits a donné lieu à des affirmations péremptoires et excessives, et surtout sans être soutenues sur le plan technique.

asuslogo.jpg

Vingt an d’audit pour Asus.

« Asus a présenté ses routeurs comme incluant diverses fonctionnalités de sécurité que la société a vendues comme étant capables de protéger les ordinateurs de n’importe quel accès indésirable, piratage ou attaque de virus et pouvant protéger le réseau local des attaques provenant de pirates », écrit la FTC. Mais le problème, c’est que Asus ne s’est pas donné les moyens de ses prétentions.

L’agence américaine souligne que des insuffisances techniques ont permis à des experts de mettre en lumière des failles dans les outils et les matériels vendus par Asus, tandis que des petits malins ont pu de leur côté exploiter certaines brèches pour « reconfigurer les routeurs vulnérables et diriger le trafic web des internautes ».

Le discours marketing d’Asus ne collait pas avec la réalité.

Parfois, il a même été possible d’utiliser les accès de connexion du routeur, qui sont réglés par défaut pour une première utilisation avec « admin » en identifiant et « admin » en mot de passe. Ces paramètres étant rarement changés par le tout-venant, ce qui permet en théorie à une personne mal intentionnée d’accéder aux réglages de nombreux routeurs, à condition de se trouver sur le réseau.

Et ces soucis n’étaient pas que théoriques. La FTC relève qu’en février 2014, des assaillants ont pu localiser les routeurs vulnérables de l’entreprise, exploiter leurs failles et ainsi accéder à des appareils de stockage connectés de 12 900 clients. Un an plus tard, c’est une campagne utilisant des brèches pour reconfigurer des routeurs et orienter le trafic des utilisateurs qui a été repérée.


Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !