Une menace numérique sous la forme d'une caméra de patrouille : Les serveurs de la police luxembourgeoise pourraient avoir été piratés

Le Luxembourg s'est retrouvé au centre d'un scandale international de cybersécurité : comme l'a révélé l'expert allemand Tim Philipp Schäfers, l'unité spéciale de police luxembourgeoise Gato2 a utilisé le système de vidéosurveillance Media Relay System (MRS) mis au point par la société israélienne Infodraw, qui s'est avéré dangereusement vulnérable.

Le problème a été découvert presque par hasard. En examinant les adresses IP accessibles au public, M. Schäfers a trouvé entre 20 et 30 serveurs Infodraw vulnérables dans le monde, dont un appartenant sans équivoque au Luxembourg. Ce serveur permettait une connexion sans mot de passe, ouvrant ainsi la porte à des données potentiellement sensibles.

Les vulnérabilités du MRS ont donné aux attaquants un large éventail de possibilités : accéder à tous les enregistrements audio et vidéo, connecter de fausses caméras, effacer ou modifier des enregistrements, et installer des microprogrammes malveillants pour prendre le contrôle du système à long terme. Il ne s'agit pas seulement d'une fuite de données, mais aussi d'une altération des éléments d'enquête, d'une falsification des preuves et d'une surveillance secrète.

Après la publication de l'article dans la revue allemande Golem.de et une alerte du service national de cyberdéfense GovCERT.lu, le serveur suspect a été immédiatement fermé. Un porte-parole de la police a confirmé l'utilisation du système et a assuré qu'il n'y avait aucun signe de compromission de données personnelles ou d'enquête à ce stade.

Toutefois, un audit médico-légal a été lancé. La police a souligné que toutes les solutions utilisées sont régulièrement "testées en termes de vulnérabilité" et que la sécurité des systèmes est constamment améliorée.

Infodraw, qui fournit des systèmes de surveillance à l'Allemagne et à la Belgique, entre autres, n'a pas encore répondu aux allégations de M. Schaeffers. Par ailleurs, les vulnérabilités identifiées dans leurs logiciels ne concernent pas seulement le Luxembourg, mais aussi des entités internationales.