- Les clés USB inconnues, offertes ou trouvées constituent un vecteur important de logiciels malveillants, de vols de données et de dommages physiques aux équipements.
- Les câbles, les chargeurs publics et les gadgets USB bon marché peuvent être utilisés pour des attaques de type « juice jacking » ou pour provoquer des pannes électriques.
- Dans un cadre personnel et professionnel, il est essentiel de séparer les appareils, de chiffrer les données, de désactiver la lecture automatique et de limiter les ports.
- La formation, des politiques claires et des outils tels que les bornes d'analyse réduisent considérablement les risques associés à l'utilisation des clés USB.
Au quotidien, nous connectons toutes sortes de périphériques à nos ordinateurs et téléphones via USB presque machinalement : clés USB, disques durs externes, chargeurs, câbles de charge empruntés… et, si nous ne sommes pas vigilants, même un appareil trouvé par hasard. Ce geste apparemment anodin peut ouvrir la porte au vol de données, aux logiciels malveillants, voire à des dommages matériels . Inutile d’être un expert en cybersécurité pour prendre ce problème au sérieux.
Outre l'installation d'un antivirus et la prévention du téléchargement de fichiers suspects, un aspect est souvent négligé : les périphériques que nous connectons physiquement à notre ordinateur ou à notre téléphone via le port USB . Cet article examine en détail, à l'aide d'exemples concrets, les périphériques USB à ne jamais connecter à votre ordinateur ou appareil mobile, les techniques utilisées par les pirates, les scénarios les plus graves et les bonnes pratiques à adopter à la maison comme au travail.
Pourquoi le port USB représente-t-il un vecteur d'attaque si dangereux ?
La norme USB a été créée pour nous simplifier la vie, mais cette même simplicité en fait une cible de choix pour les cybercriminels . Un seul connecteur permet la transmission de deux éléments : l’électricité pour la charge et des données bidirectionnelles. Et c’est là que réside le problème.
Lorsqu'un périphérique USB est connecté, le système d'exploitation le reconnaît, installe les pilotes et, souvent, le considère comme légitime . Si le périphérique a été trafiqué, il peut se faire passer pour un clavier, une souris, une carte réseau ou une clé USB et, ainsi, effectuer des actions non autorisées par l'utilisateur.
De plus, les attaques par USB contournent les barrières traditionnelles telles que l' isolation physique d'un réseau. Même avec un réseau industriel ou d'entreprise totalement déconnecté d'Internet, il suffit qu'une personne y insère une clé USB infectée pour rendre cette protection inefficace. C'est ainsi que des menaces notoires comme Stuxnet et Triton ont été introduites dans des infrastructures critiques.
Comme si cela ne suffisait pas, le port USB ne peut pas seulement servir à introduire des logiciels malveillants : il peut aussi être un canal pour littéralement griller le matériel , comme c’est le cas avec les périphériques USB Killer, qui déchargent des tensions bien supérieures à ce que la carte mère peut tolérer.
Clés USB que vous ne devriez jamais connecter à votre ordinateur ou à votre téléphone portable
Certains appareils, aussi tentants soient-ils, sont à éviter absolument. Certains sont manifestement suspects, tandis que d'autres semblent totalement inoffensifs ; mais dans tous les cas, le risque est trop important.
Clés USB et cartes mémoire inconnues ou « trouvées »
Scénario classique : vous marchez dans un couloir, à la bibliothèque, sur le campus, ou même dans le hall d’entrée de votre immeuble, et vous apercevez une clé USB qui traîne par terre ou qui est abandonnée sur une table. D’après des expériences menées dans des universités, plus de 40 % des personnes qui en trouvent une finissent par la brancher à un ordinateur pour « voir ce qu’elle contient ».
Les pirates informatiques sont parfaitement conscients de cette curiosité et l'exploitent. Une tactique courante consiste à déposer des clés USB infectées sur des parkings, dans des ascenseurs, des boîtes aux lettres ou dans les espaces communs des entreprises et des établissements scolaires . On a également constaté des cas de clés USB envoyées par courrier à des destinataires choisis au hasard, dissimulées sous forme de « cadeaux » publicitaires ou promotionnels.
Cette clé USB peut contenir n'importe quoi : chevaux de Troie, vers, rançongiciels, enregistreurs de frappe, rootkits, logiciels publicitaires… Nombre de ces programmes malveillants sont conçus pour se propager dès qu'ils détectent d'autres périphériques de stockage ou ordinateurs sur le même réseau local, et pour rester cachés le plus longtemps possible.
Pire encore, il n'est pas toujours nécessaire d'ouvrir des fichiers : si la lecture automatique est activée sur l'ordinateur, le système peut exécuter du code malveillant dès l'insertion de la clé USB. En entreprise, une simple clé USB infectée peut entraîner un incident de sécurité grave, un vol massif de données ou l'arrêt de systèmes critiques.
Un détail juridique important est rarement abordé : une clé USB perdue peut contenir des documents volés, des photos illicites ou des informations bancaires appartenant à des tiers . La simple possession ou l’accès à certains types de contenu peut entraîner des problèmes juridiques, même si vous n’avez rien à voir avec sa création ; consultez nos conseils pour prévenir le vol de données personnelles.
Clés USB « surprise » reçues par la poste ou distribuées lors d'événements
Un autre cas très délicat concerne les périphériques USB que l'on reçoit sans les avoir demandés : campagnes marketing agressives, prétendus cadeaux lors de foires, de congrès, de promotions dans les centres commerciaux ou même envois postaux anonymes.
Parfois, ces distributions sont parfaitement légitimes, mais certaines campagnes consistent à distribuer des clés USB infectées pour installer des logiciels malveillants ou espionner les victimes . La police de Melbourne, par exemple, a dû émettre un avertissement demandant aux citoyens de ne pas connecter à leur ordinateur les clés USB trouvées dans leur boîte aux lettres, car beaucoup contenaient des logiciels malveillants.
Dans les entreprises et les organismes publics, ce type de clé USB « cadeau » doit être considéré comme un dispositif à haut risque et doit faire l'objet de procédures d'analyse obligatoires ou, tout simplement, ne jamais être utilisé dans les équipements de production.
Câbles et chargeurs USB d'origine douteuse
Avec la généralisation de la recharge des téléphones portables, de nouvelles techniques d'attaque ont émergé, exploitant des chargeurs et des câbles en apparence inoffensifs. Un chargeur public dans un aéroport, un hôtel ou un centre commercial peut être modifié pour faire bien plus que simplement recharger la batterie.
Le « juice jacking » repose précisément sur ce principe : les ports de chargement USB publics peuvent être utilisés pour installer des logiciels malveillants ou des outils de surveillance sur les appareils connectés. Un port compromis permet d'accéder au contenu d'un téléphone, de voler des mots de passe et des données personnelles, et de les utiliser pour usurper votre identité, vider vos comptes bancaires ou vendre vos informations sur le dark web.
Un phénomène similaire se produit avec certains câbles USB modifiés qui dissimulent un microcontrôleur . De l'extérieur, ils ressemblent à des câbles normaux, mais à l'intérieur, ils peuvent se comporter comme un clavier qui, une fois connecté, commence à saisir des commandes à grande vitesse pour télécharger des logiciels malveillants, créer des comptes utilisateurs privilégiés, désactiver des logiciels antivirus, et bien plus encore.
La morale de cette histoire est claire : ne jamais supposer qu'un chargeur ou un câble USB n'est « qu'un » morceau de plastique inoffensif , surtout si vous ne savez pas d'où il vient ni qui a pu le manipuler.
Périphériques USB de très mauvaise qualité (ventilateurs, lampes, gadgets bon marché…)
À l'opposé des attaques sophistiquées se trouvent les périphériques USB bon marché et de mauvaise qualité : ventilateurs à deux euros, lampes flexibles, tasses chauffantes, mini-jouets, etc. Bien que leur usage initial ne soit pas malveillant, la mauvaise qualité des composants peut poser un problème sérieux.
Une mauvaise gestion de l'alimentation, des soudures défectueuses ou l'absence de protections peuvent provoquer des courts-circuits, des surtensions ou des surcharges susceptibles d'endommager les ports USB, les cartes mères ou les batteries . Sans compter que certains de ces appareils peuvent intégrer des micrologiciels ou des puces de stockage modifiés qui, là encore, pourraient être utilisés pour introduire du code malveillant.
La recommandation est simple : si vous connectez un périphérique à un port USB, assurez-vous qu’il provienne d’un fabricant fiable et qu’il soit assorti d’une garantie minimale . Les articles gratuits ou anormalement bon marché s’avèrent souvent coûteux en matière de sécurité et de matériel.
USB Killer et autres dispositifs conçus pour endommager le matériel
Dans la catégorie « à ne surtout pas brancher », on trouve les fameux « USB Killers » . Contrairement à une clé USB classique, leur intérieur ne sert pas à stocker des données, mais à accumuler de l'énergie grâce à des condensateurs.
Lorsqu'ils sont connectés à un port USB, ces périphériques chargent rapidement leurs condensateurs à partir de l'alimentation et déchargent environ 200 volts de courant continu sur les lignes de données . Ce cycle de charge-décharge se répète plusieurs fois par seconde jusqu'à ce que le périphérique soit débranché. À moins que l'ordinateur ne soit doté d'une protection spécifique, cela peut généralement entraîner la destruction du port USB, la détérioration de la carte mère ou l'immobilisation complète de l'ordinateur.
Même avec un antivirus et d'autres systèmes de protection actifs, aucun logiciel ne peut protéger votre matériel contre une attaque purement électrique . Par conséquent, insérer une clé USB d'origine inconnue dans votre PC peut non seulement entraîner une infection, mais aussi des dommages physiques irréversibles.
Risques spécifiques liés à la connexion de clés USB non sécurisées
Nous avons déjà vu quels périphériques éviter, mais il est important de préciser les conséquences exactes. La connexion d'un périphérique USB suspect peut compromettre à la fois les aspects logiques (données, système d'exploitation, réseau) et physiques (matériel).
Logiciels malveillants : des chevaux de Troie silencieux aux rançongiciels destructeurs
Les logiciels malveillants distribués via des supports amovibles sont extrêmement variés. Dans les environnements industriels et d'entreprise, on trouve en abondance des chevaux de Troie avec portes dérobées, des bots, des programmes d'installation qui téléchargent d'autres menaces, des vers qui se répliquent automatiquement, des rootkits qui se dissimulent à l'utilisateur et aux logiciels antivirus, ainsi que toutes sortes de logiciels publicitaires et de logiciels espions.
Certains rançongiciels ciblent spécifiquement les disques durs ou clés USB connectés à d'autres appareils pour se propager . D'autres se concentrent sur le vol d'informations confidentielles : documents internes, fichiers de configuration, identifiants de navigation enregistrés, bases de données, etc. Dans les cas extrêmes, il s'agit de rançongiciels qui chiffrent tous les fichiers accessibles et exigent une rançon pour leur récupération ; apprenez à vous protéger contre les rançongiciels.
Sur les PC dont la lecture automatique est activée ou mal configurée, il suffit d'insérer le périphérique pour déclencher l'attaque . Inutile d'ouvrir quoi que ce soit ou de double-cliquer sur un fichier : le système exécute automatiquement le programme préparé par l'attaquant.
Engagement envers les réseaux industriels et les systèmes « isolés »
Dans le domaine des systèmes de contrôle industriel (ICS), l'USB est une arme à double tranchant. D'une part, il est indispensable pour la mise à jour du micrologiciel, le chargement de nouvelles configurations ou le transfert de données vers des équipements non connectés au réseau . D'autre part, il représente une menace importante.
Malgré les mesures d'isolation, de nombreuses installations industrielles ont vu leurs systèmes compromis précisément à cause d' un défaut d'application des bonnes pratiques d'utilisation des supports amovibles . Stuxnet et Triton en sont deux exemples notoires, mais pas les seuls. Une mauvaise gestion de la mémoire peut anéantir toute stratégie d'isolation physique : ce qui ne transite pas par le réseau finit par atterrir dans la poche d'un technicien.
De plus, la longue durée de vie des équipements industriels et la coexistence de systèmes anciens et modernes rendent difficile leur maintenance selon des politiques de sécurité cohérentes. Le personnel manipulant ces dispositifs de commande devient, de facto, le principal facteur de risque s'il n'est pas correctement formé et sensibilisé aux risques.
Perte de données, confidentialité et risques juridiques potentiels
Le danger ne vient pas uniquement de l'extérieur. Les clés USB présentent également un risque important lorsqu'elles servent à stocker des informations sensibles : données personnelles, documents d'entreprise, sauvegardes, photos privées, etc.
Ce sont de petits appareils, faciles à perdre, à oublier dans un sac ou à laisser branchés à l'ordinateur de quelqu'un d'autre. Si l'ordinateur auquel vous les connectez est infecté, il peut copier le contenu de la clé USB à votre insu . Et si vous perdez la clé, quiconque la trouve peut accéder à vos documents s'ils ne sont pas chiffrés.
Dans le monde professionnel, cela se traduit par des risques évidents de fuites d'informations confidentielles et de non-respect des réglementations (notamment en matière de protection des données). C'est pourquoi de nombreuses organisations interdisent formellement l'utilisation d'appareils personnels pour la gestion des informations de l'entreprise.
dommages physiques au matériel
Outre les dispositifs de type « USB Killer » et autres gadgets similaires, un appareil défectueux ou mal conçu peut engendrer de graves problèmes électriques . Une surtension ou un court-circuit dans un appareil bon marché peut endommager le port USB, une partie du circuit imprimé, voire l'alimentation.
Laisser des appareils connectés inutilement pendant de longues périodes comporte également des risques. En cas de surtension ou de coupure de courant pendant l'écriture de données sur une clé USB , le système de fichiers de la clé ou de l'ordinateur lui-même peut être corrompu, entraînant une perte de données.
Bonnes pratiques : comment utiliser les périphériques USB en toute sécurité
On ne peut pas toujours se passer de clés USB ou de ports, mais on peut réduire considérablement les risques en appliquant une série de mesures techniques et de bon sens . Certaines s'adressent à tous les particuliers, tandis que d'autres sont principalement destinées aux entreprises et aux environnements industriels.
Ne connectez jamais de périphériques USB inconnus.
Cela peut paraître évident, mais c'est pourtant le point le plus important : si vous ignorez la provenance d'une clé USB, ne la connectez à aucun appareil auquel vous tenez . Évitez les clés USB trouvées dans la rue, « oubliées » au bureau, reçues par la poste sans les avoir demandées, ou prêtées sans aucune garantie.
Si vous trouvez une clé USB, le plus judicieux est de ne pas l'utiliser pour quoi que ce soit en rapport avec vos appareils . En entreprise, elle doit être remise au service de sécurité ou informatique pour analyse ou destruction sécurisée. À la maison, la jeter à la poubelle (et la casser si vous voulez être sûr) est souvent la solution la moins mauvaise.
Évitez de recharger votre téléphone portable sur les ports USB publics.
Aéroports, gares, hôtels, centres commerciaux et même bus proposent de plus en plus de ports USB « gratuits » pour recharger son téléphone . Le problème, c'est qu'on sait rarement ce qui se cache derrière ce connecteur : un simple adaptateur secteur ou un appareil ayant accès à vos données.
Pour réduire les risques de vol de données, il est préférable d'utiliser systématiquement votre propre chargeur branché sur une prise murale , ou d'emporter une batterie externe à votre usage exclusif. Si vous n'avez d'autre choix que d'utiliser une borne de recharge publique, l'idéal serait d'utiliser des câbles spéciaux bloquant les broches de données et permettant uniquement la recharge.
Appareils personnels et professionnels séparés
Au travail, il est important de bien séparer vie personnelle et vie professionnelle . Il est interdit de connecter sa clé USB personnelle à l'ordinateur de l'entreprise, et inversement, d'utiliser une clé USB professionnelle pour emporter des fichiers personnels à la maison.
Concrètement, cela signifie : identifier, inventorier et définir des politiques d’utilisation claires pour les clés USB d’entreprise ; interdire ou restreindre autant que possible l’utilisation des appareils personnels ; et soumettre toute mémoire externe à des contrôles préalables (tels qu’une analyse sur des bornes de sécurité) avant de l’autoriser sur le réseau interne.
Protection des informations stockées : chiffrement et gestion du contenu
Lorsqu'il n'y a pas d'autre choix que de stocker des données sensibles sur une clé USB, la meilleure protection consiste à la chiffrer avec un mot de passe robuste . Ainsi, même si quelqu'un parvient à s'emparer de la clé physique, il lui sera beaucoup plus difficile d'accéder à son contenu.
De plus, il est conseillé de limiter le type d'informations stockées sur ces appareils . Évitez autant que possible d'y stocker des données particulièrement sensibles ou essentielles qui ne sont pas sauvegardées ailleurs de manière sécurisée. Enfin, lorsque vous n'en avez plus besoin, utilisez la suppression sécurisée afin que les fichiers ne puissent pas être facilement récupérés.
Configurez le système d'exploitation et utilisez les outils de sécurité
Sur le plan technique, plusieurs mesures simples peuvent s'avérer très utiles. Par exemple, désactiver la lecture automatique sur les supports amovibles afin qu'aucun programme ne s'exécute sans votre autorisation. Il est également conseillé de disposer d'un antivirus performant et à jour qui analyse automatiquement les supports amovibles dès leur connexion.
Dans les environnements industriels et d'entreprise avancés, vous pouvez aller plus loin avec des solutions de contrôle spécifiques des ports USB : restriction des types de périphériques pouvant être connectés, application de politiques différentes selon l'équipement, enregistrement de tout ce qui est branché, blocage des firmwares non signés, etc.
Un outil de plus en plus répandu est la borne de scan USB : un dispositif dédié auquel les clés USB sont connectées avant d’être autorisées à accéder au réseau. Ces bornes effectuent des analyses à l’aide de plusieurs moteurs antivirus, protègent contre les attaques BadUSB, permettent l’effacement sécurisé des données, gèrent l’inventaire des périphériques et génèrent des tickets d’autorisation.
Prendre soin de la « santé » physique de vos clés USB
Outre la sécurité, il est toujours conseillé de bien entretenir son appareil pour prolonger sa durée de vie et éviter les pannes. Utilisez toujours la méthode de débranchement sécurisée , évitez de le laisser branché inutilement, nettoyez le connecteur de temps en temps et protégez-le avec son capuchon pour réduire les risques de dommages physiques.
Il est également préférable de ne pas forcer le connecteur : s’il ne s’insère pas, il est probablement à l’envers. L’enfoncer brutalement risque d’endommager la clé USB et le port de l’ordinateur. Enfin, si vous utilisez un ordinateur portable dont la batterie est presque déchargée, évitez d’écrire des données sur la clé USB : en cas d’arrêt brutal de l’ordinateur, vous pourriez perdre des fichiers ou corrompre le système de fichiers de la clé.
Formater régulièrement votre clé USB (après avoir sauvegardé vos données) permet de maintenir ses performances et de détecter les pannes . Dès que vous constatez un comportement anormal (erreurs fréquentes, fichiers qui disparaissent, vitesse anormalement lente), il est préférable de la mettre hors service avant de perdre des données importantes.
Formation, sensibilisation et réponse aux incidents
Quelles que soient les mesures techniques mises en place, la sécurité des clés USB repose avant tout sur le facteur humain . Si les utilisateurs ne comprennent pas les risques, ils continueront de connecter des périphériques qu'ils trouvent à portée de main ou de prêter leurs clés USB à n'importe quel ordinateur.
Dans les entreprises et les institutions, il est essentiel de proposer régulièrement des formations sur les bonnes pratiques , d'illustrer ces formations par des exemples concrets, de définir clairement les comportements acceptables et inacceptables, et de préciser la procédure à suivre en cas de perte, de vol ou d'infection. Il est également important de disposer d'un canal simple pour signaler les incidents (par exemple, informer immédiatement le personnel en cas de disparition d'une clé USB d'entreprise contenant des données sensibles) sans craindre de représailles excessives.
Lorsqu'il est temps de se débarrasser d'un appareil, que ce soit en raison de son obsolescence ou d'une mise à niveau, il est impératif de s'assurer qu'aucune trace d'information n'y subsiste . Le jeter ou le donner simplement peut entraîner une perte de données.
En définitive, le port USB est un outil incroyablement pratique, mais mal utilisé, il peut devenir un inconvénient. Avec une bonne dose de prudence, quelques règles claires et une certaine rigueur dans leur application , vous pourrez continuer à profiter de ses avantages tout en minimisant considérablement les problèmes et les dysfonctionnements.
