Votre boîtier de streaming à 30 euros clique peut-être des publicités toute la nuit : comment le vérifier

Que fait un boîtier infecté ?

Il travaille pour quelqu’un d’autre, pendant que vous dormez. Les chercheurs de Bitsight ont baptisé l’opération l’entreprise Fuyao, du nom du groupe chinois Fengwo qui la pilote ; il ne s’agit d’aucun des réseaux BadBox déjà connus, mais d’une mécanique voisine. Un logiciel préinstallé transforme le boîtier en relais, un point de sortie par lequel transite le trafic d’autres internautes, et lui fait charger en continu des publicités que vous ne voyez jamais à l’écran.

Sur les quelque 38 000 appareils confirmés en une seule journée de mesure, cette fraude rapporte près de 50 000 dollars par jour, une estimation que le chercheur Pedro Falé présente comme très prudente. Rapportée à l’année, selon nos calculs, la même cadence dépasse 17 millions de dollars, sans compter le marché parallèle. Le média spécialisé Krebs on Security rappelle en effet que le réseau revend aussi l’accès à ces connexions résidentielles, non compté dans ce chiffre.

Comment vérifier le vôtre ?

Vous pouvez le contrôler en deux minutes, sans aucun outil. Sur le boîtier, ouvrez l’application Google Play Store, touchez votre photo de profil en haut à droite, puis Paramètres et À propos : la ligne certification Play Protect affiche soit un appareil certifié, soit un appareil non certifié. Google détaille cette vérification étape par étape.

Un appareil certifié a passé les tests de compatibilité Android et embarque les applications Google sous licence. Avant même d’acheter, cherchez le logo Play Protect sur l’emballage et vérifiez la marque sur la liste officielle des partenaires. Un boîtier absent de cette liste n’est pas forcément malveillant, mais rien ne garantit son origine ni ce qui tourne dedans. Les clés et boîtiers vendus par les grands services de streaming, eux, figurent parmi les modèles certifiés.

Quels signes doivent alerter ?

Un prix imbattable et une marque inconnue sont les premiers indices. Bitsight a retrouvé les applications frauduleuses préinstallées sur certains modèles vendus sous la marque générique H96, diffusés via des ROM personnalisées par les distributeurs. Méfiez-vous ensuite d’un boîtier qui chauffe ou sollicite le réseau alors qu’il est censé être en veille, et qui affiche des applications que vous n’avez jamais installées. Aucun de ces signes n’est une preuve à lui seul, mais leur accumulation, sur un appareil non certifié, doit vous faire douter.

Que faire s’il est compromis ?

Débranchez-le du réseau en premier. La difficulté, c’est que le code est intégré au système d’origine : une simple réinitialisation d’usine ne suffit pas toujours à le déloger, et le plus sûr reste de remplacer l’appareil par un modèle certifié. Côté portefeuille, un produit vendu neuf et déjà piégé peut relever de la garantie légale de conformité, qui vous permet, face à un vendeur professionnel, d’exiger la réparation, le remplacement ou le remboursement pendant deux ans. Nos conseils pour reprendre la main sur votre vie numérique valent aussi ici.

Le reste de la maison est-il exposé ?

C’est le vrai enjeu. Quand votre boîtier sert de relais, c’est votre adresse IP, donc votre ligne, qui apparaît derrière l’activité d’inconnus, et parfois derrière des actions que vous n’auriez jamais faites. Le même principe touche d’autres objets du quotidien : nous avions raconté comment un aspirateur robot repris à distance pouvait échapper à son propriétaire.

Pour saisir l’ampleur du phénomène, un chercheur de Nokia Deepfield décortique cet écosystème des boîtiers à bas coût dans une conférence limpide.

Un objet à 30 euros n’est jamais vraiment gratuit : quand il ne se paie pas au prix affiché, il se rembourse avec votre connexion. La vérifier une fois, c’est deux minutes. La laisser travailler pour un autre, c’est toute l’année.