Coffres-forts électroniques piratés en 2 secondes : les 2 méthodes chirurgicales qui font trembler l’industrie !

Quand vos coffres électroniques ne sont plus aussi sûrs qu’ils en ont l’air

À l’ère du numérique, les serrures traditionnelles à clé laissent de plus en plus la place à des coffres-forts électroniques, vantés pour leur praticité et leur sécurité renforcée. Pourtant, une équipe de chercheurs en cybersécurité vient de lever le voile sur deux attaques redoutables, baptisées ResetHeist et CodeSnatch, qui permettent de déverrouiller ces dispositifs en quelques secondes seulement.

Quelles failles ont été exploitées ?

Les spécialistes ont concentré leurs efforts sur des serrures électroniques grand public, largement répandues aussi bien chez les particuliers que dans les petites entreprises. Sans dévoiler la marque concernée, ils ont identifié :

• Une vulnérabilité logicielle exploitant le protocole de communication interne entre le clavier et le microcontrôleur ;
• Une faiblesse matérielle permettant d’injecter un signal électrique pour forcer un reset non autorisé du système de sécurité ;
• Un manque de chiffrement des échanges, facilitant la récupération puis la modification du code maître.

ResetHeist : forcer le redémarrage pour gagner le contrôle

La première méthode, nommée ResetHeist, repose sur la capacité à déclencher un redémarrage brutal du circuit de gestion :

• En envoyant une impulsion électrique maîtrisée sur les lignes d’alimentation du microcontrôleur, on provoque un « hard reset » hors des procédures normales ;
• Lors du redémarrage, le logiciel interne chargé de vérifier le code d’accès ne s’exécute pas entièrement, ouvrant une fenêtre d’opportunité d’environ 2 secondes ;
• Durant cette fenêtre, l’attaquant peut envoyer un ordre de déverrouillage par simple commande numérique, contournant toute étape d’authentification.

Testée plus d’une centaine de fois, cette attaque a un taux de réussite de 95 %, et ne laisse pratiquement aucune trace physique sur le coffre.

CodeSnatch : intercepter et réinjecter le bon code

La seconde technique, CodeSnatch, exploite un défaut de chiffrement des communications internes :

• En branchant discrètement un petit module de capture à l’arrière du panneau numérique, l’attaquant enregistre les impulsions électriques émises lors de la saisie du code maître par l’utilisateur légitime ;
• Ces impulsions, non chiffrées, peuvent être décodées en temps réel grâce à un simple microcontrôleur programmable ;
• Le dispositif réémule ensuite exactement la même séquence au moment de l’attaque, ouvrant instantanément le coffre sans alerter le propriétaire.

L’avantage de CodeSnatch est son caractère indétectable : aucune trace d’effraction n’apparaît et la serrure, de l’extérieur, fonctionne normalement.

Conséquences pour les utilisateurs

• Perte potentielle de biens précieux ou de documents confidentiels en quelques secondes ;
• Risque élevé pour les professionnels stockant données ou outils réglementés dans ces coffres ;
• Climat d’insécurité et remise en question générale de la fiabilité des serrures électroniques bon marché.

Comment se protéger dès maintenant ?

• Vérifier si votre coffre bénéficie déjà d’un patch firmware de la part du fabricant et l’installer sans tarder ;
• Désactiver les accès externes ou ports de service non essentiels pour limiter la pose de modules de capture ;
• Choisir un modèle certifié avec chiffrement AES 256 bits et anti-tamper, plutôt qu’un appareil grand public ;
• Placer le coffre dans un environnement surveillé (caméra, alarme) pour dissuader l’installation d’un module physique ;
• Mettre en place une double authentification : code + clé physique, si le mécanisme de votre modèle le permet.

Au-delà du coffre-fort : repenser la sécurité physique

ResetHeist et CodeSnatch rappellent que la sécurité ne se limite pas à la complexité d’un code. Les verrous électroniques, tout bon marché qu’ils soient, sont désormais susceptibles d’être contournés en exploitant les failles logicielles et matérielles. Chez JeSuisGeek.fr, nous vous encourageons à établir une stratégie globale associant technologie fiable et procédures de surveillance physique pour protéger réellement ce qui vous tient à cœur.