Des traceurs GPS vendus par plusieurs marques sont touchés par une faille de sécurité qui permet d'espionner les utilisateurs en accédant à leur localisation ou en les écoutant via le microphone du GPS. La faille est si critique que les chercheurs en sécurité demandent que le produit soit rappelé.

Un seul modèle est en réalité concerné mais il s'agit d'un traceur GPS vendu en marque blanche à plusieurs entreprises qui le commercialisent sous leur propre marque. Parmi elles, on compte  Pebbell, OwnFone Footprint ou encore SureSafeGo, toutes présentes sur le marché des traceurs GPS. Ce type d'appareil est utilisé pour suivre les personnes âgées, les enfants ou même les voitures qui peuvent être localisées en cas de vol.

Des milliers de traceurs GPS victime d'une importante faille de sécurité

Comme l'explique le site TechCrunch qui se base lui-même sur un rapport publié par l'entreprise de sécurité Fidus, les traceurs GPS concernés par cette vulnérabilité peuvent être détournés pour envoyer en temps réel leur géolocalisation par SMS. Il est également possible avec de simples commandes d'écouter à distance tout ce qui se dit autour du boîtier grâce au microphone intégré, et ce, sans alerter la victime.

Le modèle incriminé utilise une carte SIM pour se connecter aux réseaux mobiles via la 2G / GPRS. Bien qu'il ne se connecte pas à Internet pour être utilisé avec une application GPS classique, il est possible de contrôler le traceur GPS à distance ou de récupérer des informations par le biais d'un simple SMS. La faille identifiée par les chercheurs de Fidius permet de contrôler toutes les fonctions de l'appareil en utilisant des commandes spécifiques. Le pirate a juste besoin du numéro de téléphone du périphérique comme l'explique l'un des chercheurs à TechCrunch qui a pu réaliser une preuve de concept pour confirmer la réalité de la faille.

Lire aussi : Comment utiliser Google Maps en GPS comme un pro

Le site affirme également qu'il est possible de protéger le traceur GPS avec un code PIN, mais celui-ci s'avère inutile non seulement parce qu'il est désactivé par défaut mais aussi parce qu'il est possible de réinitialiser l'appareil sans avoir besoin de fournir un code PIN lorsqu'il est configuré. Les problèmes énumérés sont assez inquiétants. Pour cette raison, les chercheurs demandent que le produit qui est fourni par une société chinoise soit simplement retiré du marché.