Les ordinateurs d’hôtels en libre-accès, ces nids d’informations sensibles

Difficile de rester déconnecté pendant ses vacances ou ses déplacements professionnels. Alors quand l’hôtel propose de jolis ordinateurs en libre-accès dans le hall, la tentation est grande ! Mais le risque est considérable…

Damien Bancal, journaliste spécialiste en sécurité informatique œuvrant notamment pour Zataz et DataSecurityBreach, a testé en 2013 107 ordinateurs en accès libre dans différents hôtels. Force est de constater qu’ils sont massivement utilisés, et qu’ils gardent la trace des utilisateurs de passage : le journaliste a en effet mis la main sur 25 811 documents jugés sensibles, c’est à dire capables de fournir à un pirate ou un petit malin le moyen d’identifier des personnes, d’usurper leur identité ou leur fonction professionnelle, et de collecter des projets d’entreprises :

• Adresses web
• Documents personnels (photos, billets d’avion, etc.)
• Documents personnels (plans, projets, courriers, etc.)

Un pirate hors-paire ?

Peut-être. Mais nul besoin de l’être pour retrouver ces documents sensibles sur un ordinateur partagé (hôtel, bibliothèque, aéroport, etc.), en seulement quelques clics :

• L’historique web : une fois le navigateur ouvert, un petit « Ctrl+H » au clavier permet de consulter l’ensemble des sites lus. On peut alors tomber sur des pépites, comme par exemple des sites privés mais non-protégés : blogs personnels, petits intranets, sites professionnels en construction, etc.
• Les sessions web : fermer la page ou l’onglet Facebook (ou Gmail, Amazon, etc.) sans se déconnecter de son compte au préalable est particulièrement dangereux. Il suffit à un étranger de retourner sur le site pour immédiatement être connecté à votre place et usurper votre identité.
• Les pièces jointes des e-mails : lorsque l’on ouvre une pièce jointe envoyée par e-mail (photo, document, etc.), celle-ci est nécessairement enregistrée dans un dossier temporaire sur l’ordinateur. Sauf que ce temporaire peut durer très longtemps, jusqu’à ce qu’une bonne âme décidé de le nettoyer ! En quelques clics, il est donc assez courant de retrouver des centaines ou des milliers de documents personnels et professionnels.

Les hôtels informent rarement leurs clients des risques qu’ils encourent sur ces ordinateurs en libre accès, et semblent ne pas procéder à des nettoyages réguliers des navigateurs web (cache, cookies, dossiers temporaires, historiques, identifiants et mots de passe enregistrés, etc.).

De même, qu’ils soient gratuits ou payants, les réseaux Wi-Fi de l’hôtellerie sont rarement (jamais ?) aussi sécurisés qu’ils devraient l’être : il n’est pas très difficile d’intercepter toutes les informations transmises dans les airs par les clients (identifiants, mots de passe, mails, documents, etc.).

Quelles sont les bonnes pratiques ?

Sauf à simplement consulter un site Internet (qui ne recquiert pas d’identification), il est fortement déconseillé d’utiliser un ordinateur partagé, que ce soit à l’hôtel ou partout ailleurs. Cela suppose alors de résister à la tentation de connexion, ou de transporter avec soi son propre ordinateur (ou tablette, smartphone). Auquel cas il est indispensable d’y installer au préalable des logiciels qui protègeront votre connexion et vos échanges Internet :

• Un VPN (VyprVPN, ActiVPN, HotspotShield, etc.) : cet outil permet de créer un canal sécurisé entre votre ordinateur et une connexion Internet. Le protocole de « tunellisation » peut crypter les échanges et brouiller les pistes pour le pirate qui essaierait de mettre la main sur vos données.
• Le cryptage des informations (OpenPGP, GPG, Gith) : le meilleur moyen pour rendre inviolable tout document transmis.

Ces bonnes pratiques devraient bien sûr être suivies par les professionnels, mais également par l’ensemble des particuliers, qui réalisent peu souvent que leur identité numérique vaut de l’or.

 

Source : datasecuritybreach.fr
Image : Flickr / Prayitno / CC BY 2.0