Les chercheurs ont découvert 49 000 systèmes de gestion des accès (AMS) mal configurés et exposés dans de nombreux secteurs et pays, ce qui pourrait compromettre la confidentialité et la sécurité physique dans des secteurs critiques.
Les systèmes de gestion des accès sont des systèmes de sécurité qui contrôlent l’accès des employés aux bâtiments, aux installations et aux zones réglementées via la biométrie, les cartes d’identité ou les plaques d’immatriculation.
Les chercheurs en sécurité du Modat ont mené une enquête approfondie au début de 2025 et ont découvert des dizaines de milliers d’AM exposés à Internet qui n’étaient pas correctement configurés pour une authentification sécurisée, permettant à quiconque d’y accéder.
L’AMS exposé contenait des données sensibles non cryptées sur les employés, notamment:
- Données d’identification personnelles (noms, adresses e-mail, numéros de téléphone)
- Données biométriques comme les empreintes digitales et la reconnaissance faciale
- Photographies
- Horaires de travail
- Journaux d’accès indiquant qui est entré/sorti et quand
Dans certains cas, Modat pourrait modifier les dossiers des employés, ajouter de faux employés, modifier les informations d’identification d’accès ou manipuler les systèmes d’entrée du bâtiment pour restreindre l’accès aux employés légitimes ou autoriser un accès physique non autorisé à des acteurs malveillants.
Les risques pour la sécurité physique sont particulièrement préoccupants pour les AM exposés pour les bâtiments gouvernementaux et les infrastructures critiques telles que les centrales électriques et les unités de traitement de l’eau.
Outre la sécurité physique, les informations exposées pourraient également être exploitées pour renforcer les attaques de spear-phishing et d’ingénierie sociale contre les organisations exposées.
Sur les 49 000 appareils AMS exposés au total dans le monde, la plupart (16 678) sont situés en Italie, suivis du Mexique (5 940) et du Vietnam (5 035). Aux États-Unis, le Modat a trouvé 1 966 systèmes AMS exposés.
Atténuer le problème
Les chercheurs ont contacté directement tous les propriétaires de systèmes pour les informer de l’exposition à l’AMS et des risques que cela comporte pour leurs organisations. Cependant, ils ont dit à Breachtrace qu’ils n’avaient pas encore de nouvelles, donc on ne sait pas combien ont agi pour sécuriser leurs systèmes.
Les fournisseurs ont également été contactés, et certains ont répondu qu’ils travaillaient avec les clients touchés pour corriger l’exposition.
Le Modat a fourni plusieurs recommandations de sécurité aux utilisateurs d’AMS, notamment la mise hors ligne de leurs systèmes pour empêcher tout accès à distance non autorisé ou leur placement derrière des pare-feu et des VPN pour restreindre l’accès uniquement au personnel autorisé.
Il est également recommandé de modifier les informations d’identification d’administrateur par défaut, car elles sont faciles à forcer brutalement et l’authentification multifacteur (MFA) doit être implémentée si l’option est disponible.
Les administrateurs AMS doivent appliquer les dernières mises à jour logicielles et micrologicielles de leurs fournisseurs et réduire les services réseau inutiles susceptibles d’augmenter la surface d’attaque.
Les données biométriques et les informations personnelles doivent toujours être stockées sous forme cryptée, et les données des anciens employés doivent être purgées pour éviter tout accès non autorisé via d’anciens comptes qui n’ont pas été désactivés sur d’autres systèmes.