KISA : trois caméras IP sur dix sans authentification utilisateur fiable

Les failles relevées

Trente-sept points ont été contrôlés dans trois domaines : l'appareil lui-même (matériel, réseau, micrologiciel), l'application mobile de pilotage, ainsi que les politiques des fabricants, notamment sur les mises à jour de sécurité et la protection des données personnelles. À partir de scénarios d'attaque conçus par des spécialistes, les évaluateurs jugent qu'une amélioration d'ensemble est nécessaire.

Sur les trois caméras à l'authentification faible, un attaquant pouvait télécharger sans autorisation les images et vidéos d'autrui, ou activer et manipuler la caméra de force. Côté matériel, quatre modèles avaient des ports de test exposés et actifs, avec un risque d'accès au système et de fuite d'informations. Huit modèles n'utilisaient pas de protocoles de communication sécurisés, laissant les données exposées pendant leur transmission. Tous les modèles présentaient des réglages de sécurité du micrologiciel insuffisants.

Cinq modèles n'imposaient pas de politique de mot de passe robuste, par exemple dix caractères minimum combinant deux types. Pour six modèles, la durée de prise en charge des mises à jour de sécurité restait introuvable.

Corrections et suites

La KISA a demandé aux fabricants des trois caméras de corriger rapidement les failles. Les correctifs sont terminés pour RoboView et Fineview, et en cours pour le troisième produit. Les dix fabricants ont reçu les résultats et les mesures correctives, et ont remis à l'agence de la consommation des plans d'amélioration de la qualité, dont la KISA suivra la mise en œuvre.

C'est le deuxième contrôle conjoint portant sur des produits numériques du quotidien, après l'enquête de 2025 sur les robots aspirateurs. Lee Yong-pil, de la KISA, appelle fabricants et distributeurs à intégrer la sécurité sur tout le cycle de vie des produits, et les consommateurs à adopter de bonnes habitudes.