Le FBI alerte sur les bornes de recharge gratuites : ce que les pirates peuvent installer sur votre téléphone en quelques minutes

Aux États-Unis, le FBI appelle les voyageurs et les utilisateurs de lieux publics à la prudence face aux ports USB en libre accès.

Le site d’information américain NBC News rapporte, dans un article publié le 10 avril 2023 et signé par CNBC, que des bornes de recharge gratuites peuvent servir de point d’entrée à des logiciels malveillants. L’alerte concerne surtout les ports USB proposés dans les aéroports, les hôtels ou les centres commerciaux.

Le FBI met en garde contre les ports USB publics

Le bureau du FBI à Denver a relayé un message clair sur les réseaux sociaux : mieux vaut éviter les stations de recharge gratuites lorsque l’on ne connaît pas leur origine ni leur niveau de sécurité. Selon l’agence fédérale américaine, des personnes malveillantes peuvent modifier certains ports USB publics afin d’introduire un programme espion ou un logiciel malveillant sur un appareil connecté.

« Évitez d’utiliser les stations de recharge gratuites dans les aéroports, les hôtels ou les centres commerciaux », a indiqué le bureau du FBI à Denver.

Le risque ne porte pas sur l’électricité elle-même. Il vient de la fonction de transfert de données intégrée à un câble USB. Un même connecteur peut en effet alimenter un téléphone tout en échangeant des informations avec un ordinateur, une borne ou un autre appareil. Si le matériel a été compromis, cette connexion peut devenir une faille.

Le FBI conseille donc aux consommateurs de voyager avec leur propre chargeur et leur propre câble, puis de brancher l’ensemble sur une prise électrique classique. Cette précaution réduit le contact avec une interface USB publique dont l’état n’est pas vérifiable.

Ce que des pirates peuvent tenter d’installer

Dans son avertissement, le FBI évoque deux types de menaces : les logiciels malveillants et les outils de surveillance. Ces programmes peuvent viser un téléphone, une tablette ou un ordinateur portable relié à une borne trafiquée.

Une fois introduit sur un appareil, un logiciel malveillant peut chercher à récupérer des informations personnelles. La Commission fédérale des communications américaine avait déjà alerté sur ce procédé en 2021. Elle expliquait que des câbles USB compromis pouvaient aider des fraudeurs à récupérer des identifiants et des mots de passe.

Un câble ou un port USB ne sert pas seulement à recharger : il peut aussi transmettre des données entre deux appareils.

La source ne cite pas de cas récent et précis de victime lié à cette alerte du FBI. L’agence n’a pas non plus détaillé l’élément ayant motivé ce rappel de prudence. L’avertissement repose donc sur l’existence de méthodes techniques susceptibles de détourner des équipements accessibles au public, et non sur un incident particulier décrit dans l’article.

Un risque lié à la confiance accordée à la borne

Une borne installée dans un lieu très fréquenté peut inspirer confiance, surtout lorsqu’elle porte une signalétique ou se trouve près d’un espace d’attente. Or, l’utilisateur ne peut pas savoir, à l’œil nu, si le port a été modifié, si le câble a été remplacé ou si l’équipement communique avec un appareil extérieur.

Les personnes pressées sont les plus exposées. Dans un aéroport, une batterie presque vide peut pousser à utiliser le premier port disponible avant un embarquement. Dans un hôtel ou un centre commercial, la gratuité et la simplicité du geste peuvent aussi faire tomber la vigilance.

Les réflexes conseillés lors d’un déplacement

La recommandation du FBI tient en quelques gestes simples. Elle vise à garder le contrôle sur les accessoires et sur la source d’alimentation utilisée.

• Privilégier son chargeur personnel et son propre câble USB.
• Brancher le chargeur sur une prise électrique murale plutôt que sur un port USB public.
• Éviter les câbles laissés à disposition près d’une borne, même s’ils semblent neufs.
• Refuser une demande inhabituelle d’autorisation ou de partage de données qui apparaît au moment du branchement.
• Prévoir une batterie externe pour les trajets longs et les périodes d’attente.

Une batterie externe permet de recharger son téléphone sans relier celui-ci à une borne inconnue. Elle doit elle aussi être chargée à l’avance avec un équipement de confiance. Ce type d’accessoire peut s’avérer pratique lors d’un voyage, d’un salon ou d’une longue journée loin de chez soi.

Quelle situation en France ?

En France, les ports USB dans les gares, les aéroports, les hôtels et certains commerces répondent au même principe technique : ils peuvent transporter du courant et des données. La prudence recommandée par le FBI américain peut donc être appliquée par les voyageurs français, sans que l’alerte relayée par NBC News ne constitue une consigne officielle française.

L’Agence nationale de la sécurité des systèmes d’information est l’organisme public français compétent sur les questions de cybersécurité. La Commission nationale de l’informatique et des libertés intervient, elle, dans la protection des données personnelles. Face à une connexion physique inconnue, le réflexe le plus prudent reste de limiter les échanges non nécessaires entre son appareil et un équipement public.

Les téléphones récents affichent parfois un message lorsqu’ils détectent une connexion USB susceptible d’échanger des fichiers. Une proposition de transfert de données, d’accès aux photos ou de reconnaissance de l’appareil ne doit pas être validée par automatisme. Pour une simple recharge, aucune autorisation de ce type n’est normalement nécessaire.

Comprendre le détournement de recharge

Cette méthode est souvent désignée par une expression anglaise dans les alertes de cybersécurité. Elle décrit le détournement d’un port de recharge afin d’exploiter la liaison de données USB. L’objectif peut être d’installer un programme indésirable ou de capter des données stockées sur l’appareil.

Le scénario ne signifie pas que chaque prise ou chaque borne gratuite est dangereuse. Il rappelle plutôt qu’un équipement connecté et accessible au public mérite la même prudence qu’un réseau inconnu ou qu’un câble prêté par un inconnu. Garder son propre matériel de recharge limite fortement l’exposition à ce type de manœuvre.

En cas de comportement inhabituel après une recharge — apparition d’applications inconnues, demandes de connexion suspectes ou ralentissements inexpliqués — il est préférable de ne pas saisir de mots de passe sensibles depuis l’appareil concerné. Une vérification des applications installées et des paramètres de sécurité peut alors aider à repérer une anomalie.