4.12.2018, Robin Eymann et Lionel Cretegny
Alors que la mode est aux jouets connectés, leurs risques sont peu connus. Mise en garde.
L’affaire avait fait grand bruit: on trouvait à mettre sous le sapin en 2016 déjà une poupée d’apparence anodine, mais dont le micro et le haut-parleur permettaient à des personnes mal intentionnées d’espionner l’enfant, et de converser avec lui à l’insu des parents. «Mon amie Cayla» pouvait en effet être contrôlée par smartphone. Cette poupée, comme tant d’autres nouveautés qui fleurissent sur le marché, est un jouet connecté, reliable à internet par Bluetooth ou wifi via ordinateur, tablette ou smartphone. Séduisants de prime abord, ces objets sont vulnérables et potentiellement de véritables espions infiltrés.
En ces semaines précédant Noël, nous avons fait le tour des grands magasins à la recherche des types de jouets connectés disponibles. Nous en avons trouvé une bonne vingtaine allant du hand spinner au chien robot, sans oublier les montres connectées. Leur prix varie de 5 à 250 francs environ. Si nous n’avons pas eu le loisir de les tester, nous avons constaté que leurs propriétés – micro, haut-parleur, caméra, commandes – pouvaient devenir rapidement problématiques.
Certains jouets, comme le hand spinner Vmax 2035 vendu 5 fr. chez MediaMarkt, permettent d’enregistrer des sons ou d’écouter ses morceaux favoris. Il se connecte via Bluetooth et permet l’envoi de musique depuis un smartphone sans mot de passe. Certes, la fonctionnalité est intéressante, l’enfant pouvant jouer en musique. Mais la facilité de connexion n’empêcherait pas une personne mal intentionnée de se brancher également sur le jouet et d’entrer en contact avec l’enfant. Dans une configuration analogue, les jouets pourvus d’un micro pourraient écouter constamment les conversations privées et ainsi avoir accès à des informations sensibles ou confidentielles (le moment où la maison est vide, ce qu’on pense du voisin).
Apprendre à construire et à programmer un robot, oui, mais pas sans filet de sécurité.
D’autres jouets dotés d’une caméra permettent d’envoyer des photos sur un smartphone via Bluetooth. C’est le cas du robot Jimu AstroBot en kit de Ubtech aussi trouvé chez MediaMarkt à 199 fr. 95. Or des images d’un appartement ou d’un enfant restent des données bien trop sensibles pour tomber en de mauvaises mains.
Profilage et failles de sécurité
Faut-il vraiment voir le mal partout? Les adultes ne peuvent ignorer qu’un jouet se doit d’être ludique, évidemment, mais sécurisé aussi. De leur côté, les fabricants ne brillent pas par leur volonté d’établir certains gardefous (lire encadré p. 21). En effet, les applications liées à ces objets demandent généralement plus d’autorisations d’accès que nécessaire, de l’accès à votre carnet d’adresses, à vos photos privées, en passant par vos historiques d’appel. L’app qui contrôle le robot Jimu AstroBot demande notamment l’historique des applications qui ont été utilisées sur le smartphone: l’information est totalement inutile pour faire fonctionner le robot, mais très utile au profilage du client.
Plus inquiétant encore, la plupart des jouets connectés mentionnent dans leurs conditions générales – qu’il faut souvent aller chercher sur internet car rien ne figure sur l’emballage – que toutes les données collectées seront revendues ou utilisées à des fins de marketing. En clair, photos, messages et enregistrements seront soigneusement récupérés par les fabricants. Il serait même imaginable que des publicités ciblées apparaissent sur ces jouets. En plus du risque de sécurité, l’atteinte à la vie privée est donc importante.
Que font les distributeurs? La plupart ont indiqué «respecter le cadre légal» et compter sur les fabricants pour proposer des jouets sûrs ainsi que sur les parents pour s’assurer que tout se passe bien. A l’exception notable de Migros qui réalise des tests de sécurité avant de les vendre, les autres n’effectuent aucun contrôle. Ils feraient bien de s’inspirer de l’attitude du géant orange.
Cadre légal obsolète
Le fait d’évoquer le respect du cadre légal est un nonsens, dans la mesure où la Loi sur la protection des données actuelle est dépassée et n’oblige ni le fabricant ni le détaillant à mettre sur le marché un jouet garantissant la sécurité des données et le respect de la vie privée. Une interpellation de Mathias Reynard (PS/VS) au Parlement l’an passé a appuyé ce propos: le Préposé fédéral ne peut émettre que des recommandations, et non interdire un produit. C’est une mesure bien faible.
Tant sur le plan suisse qu’européen, il n’existe aujourd’hui aucun règlement ou standard qui régisse le marché juteux des jouets connectés. Face au vide juridique, le seul moyen pour faire évoluer les choses est de maintenir la pression médiatique. Suite à des scandales, des fabricants ont modifié leurs applications pour, par exemple, demander un mot de passe ou vérifier qui peut se connecter au jouet. Il est tout de même étonnant que ces simples mesures ne soient pas installées d’office.
Conseils d’usage
Alors, quelles sont les options immédiates pour le consommateur? A priori, le mieux serait de renoncer à ce type d’achat. Pas de complexe rétrograde à avoir, car l’autre tendance du moment, c’est le jouet vintage! En bois, objets des années 1980 revisités, vous choisissez. Le site de nos homologues canadiens protegez-vous.ca ou de l’autorité française pour la protection des données seront à ce propos une mine de renseignements précieux.
Dans le registre du jouet connecté, il s’agit de contourner les failles de sécurité. «Procurez-vous un smartphone bas de gamme entièrement dédié à l’interaction avec le jouet pour éviter que des données personnelles soient transmises au fabricant ou à des tiers, suggère Stéphane Koch, spécialiste des questions numériques. Pour ceux connectés au wifi, il est également recommandé de créer un réseau wifi «invité» avec moins d’autorisations pour limiter ainsi les accès non autorisés.» Pensez aussi à voir s’il est possible d’installer (et de changer) le mot de passe pour se connecter. Enfin, lorsque l’objet n’est pas utilisé, éteignez-le complètement pour éviter qu’il reste en veille et soit vulnérable à une attaque.
Voir les vidéos de nos partenaires sur les jouets connectés:
