Xiaomi met à jour son logiciel pour qu’on ne puisse plus contrôler ses trottinettes à distance

Mise à jour du 20 mars : Xiaomi a mis à jour le logiciel du Mi Electric Scooter ce lundi 18 mars avec la nouvelle version de l’application Mi/Xiaomi Home. Elle corrige les faiblesses permettant de hacker la trottinette électrique.

Mise à jour du 14 février : Interrogée à propos de la faille, Xiaomi nous a expliqué avoir « commencé à travailler sur une solution pour y remédier et bloquer l’accès à toute application non autorisée ». La firme précise également que « les équipes produits et sécurité de Xiaomi préparent une mise à jour qui sera disponible au plus vite ».

Dans un rapport publié le mardi 12 février, la société de sécurité Zimperium révèle avoir découvert une faille dans les trottinettes Xiaomi M365. La firme a ensuite créé une application permettant de prendre le contrôle de n’importe lequel de ces véhicules dans un rayon de 100 mètres, comme elle le montre dans la vidéo ci-dessous.

Ce piratage est rendu possible à cause de l’utilisation du Bluetooth dans de nombreuses fonctions de l’engin : le système antivol, le réglage de la vitesse ou encore la mise à jour des programmes de la trottinette. En piratant le Bluetooth, on a alors accès à presque toutes les capacités de la M365.

L’équipe de Zimperium explique que « pour accéder à ces fonctions, l’utilisateur peut utiliser une application dédiée, protégée par un mot de passe.  » Pas de problème jusqu’ici, mais « le mot de passe ne concerne que l’application, pas la trottinette ». Cela signifie que le module Bluetooth du véhicule n’a aucun moyen de défense face à un piratage. Il a donc été possible de créer une app utilisant cette faille et permettant d’accéder à la M365 sans avoir besoin d’identifiant.

Des possibilités dangereuses pour les utilisateurs

Voir le système antivol de sa trottinette électrique rendu inutile est déjà problématique, mais les utilisateurs pourraient même être en danger à cause de cette faille. Zimperium a identifié trois façon d’utiliser cette dernière :

• une attaque par déni de service pour bloquer l’engin,
• l’installation d’un virus pour en prendre le contrôle,
• une attaque ciblée provoquant une accélération soudaine.

Dans ce dernier cas, la société déclare avoir déjà créé « un programme capable de faire accélérer la trottinette. Il ne sera pas révélé par mesure de sécurité ».

Zimperium affirme avoir transmis le résultat de ses recherches à Xiaomi, mais la société chinoise n’aurait pas encore proposé de mise à jour pour régler le problème. Sachant que la M365 est utilisée par des services de déplacement aux États-Unis, la situation peut inquiéter.

Radi Idan, chercheur en sécurité chez Zimperium, expliquait à The Verge que la faille « peut impliquer les services de transports qui utilisent les trottinettes Xiaomi et qui n’ont pas désactivés ou remplacés son module Bluetooth ». Il ajoute également que certains de ces véhicules « sont vendus sous des noms différents, mais peuvent aussi être touchés ». Il faudra donc vite réagir avant qu’un groupe moins bienveillant que Zimperium n’utilise la faille.

Abonnez-vous gratuitement à Artificielles, notre newsletter sur l’IA, conçue par des IA, vérifiée par Numerama !