Des chercheurs en cybersécurité ont révélé, selon nos confrères de FrenchBreaches, quatorze vulnérabilités majeures dans l’écosystème connecté de Mammotion, un fabricant spécialisé dans les tondeuses robots pilotables via une application mobile. Ces failles, si elles avaient été exploitées par des cybercriminels, auraient pu permettre d’accéder à des informations personnelles de quelque 337 000 utilisateurs, de récupérer des données relatives aux réseaux Wi-Fi domestiques et, dans les cas les plus critiques, de prendre le contrôle à distance des tondeuses appartenant à d’autres comptes.

Ce qu'il faut retenir

  • 14 vulnérabilités identifiées dans l’infrastructure cloud et les applications de Mammotion par des chercheurs en cybersécurité.
  • 337 000 comptes utilisateurs potentiellement exposés, répartis dans plus de 85 pays, sans confirmation d’un vol effectif de données.
  • Possibilité de pirater à distance les tondeuses en les associant à un compte différent via l’application mobile.
  • Exposition des informations Wi-Fi domestiques, incluant parfois des données d’authentification, en cas d’exploitation des failles.
  • La France figure parmi les pays les plus touchés en Europe, aux côtés de l’Allemagne et de la Suède, sans que le nombre exact de comptes français ne soit précisé.
  • Les chercheurs ont signalé ces vulnérabilités à Mammotion avant publication, permettant au fabricant de corriger partiellement les failles.

Une faille majeure dans l’écosystème connecté de Mammotion

Les travaux conduits par Sammy Azdoufal, Andreas Makris et Kevin Finisterre, trois spécialistes en cybersécurité, mettent en lumière des lacunes importantes dans la gestion des comptes et des appareils connectés de Mammotion. Selon FrenchBreaches, ces failles ne se limitaient pas à une simple exposition de données personnelles, mais ouvraient la porte à des actions bien plus intrusives. « Certaines vulnérabilités permettaient d’accéder à des informations sensibles sur les utilisateurs et leurs appareils », a expliqué Sammy Azdoufal, l’un des chercheurs. « Dans les scénarios les plus graves, nous avons réussi à prendre le contrôle d’une tondeuse appartenant à un autre compte, démontrant ainsi que la distance physique ne constituait plus une barrière. »

Des données personnelles et techniques accessibles sans autorisation

L’analyse des serveurs régionaux de Mammotion a révélé que les mécanismes de protection en place pouvaient être contournés, offrant ainsi un accès non autorisé à près de 337 000 comptes utilisateurs. Les informations récupérables incluaient les adresses e-mail associées, les identifiants utilisateurs, les numéros de compte, ainsi que des détails techniques comme la région du compte ou les paramètres liés aux appareils. « Il s’agit d’une estimation théorique », précise Kevin Finisterre. « Nous n’avons pas extrait massivement ces données, mais les vulnérabilités identifiées rendaient une telle opération possible à grande échelle. »

Outre les données personnelles, les chercheurs ont également pu accéder à des informations techniques relatives aux tondeuses connectées, telles que leur localisation ou leur configuration. « Ces éléments peuvent indirectement révéler l’emplacement d’un équipement dans une propriété », souligne Andreas Makris. Une tondeuse robot, par exemple, doit cartographier précisément son environnement pour fonctionner, ce qui en fait une source potentielle de données géolocalisées sensibles.

La France, l’Allemagne et la Suède parmi les pays les plus exposés

Parmi les 337 000 comptes potentiellement accessibles, les utilisateurs européens provenaient de plus de 85 pays. FrenchBreaches indique que l’Allemagne, la France et la Suède comptaient parmi les pays où la concentration d’utilisateurs était la plus élevée. « La France figure donc parmi les principaux marchés européens concernés par cette vulnérabilité », précise le rapport. Cependant, aucun chiffre ne permet d’isoler précisément le nombre de comptes français parmi ceux potentiellement exposés. Il serait donc inexact d’affirmer que 337 000 Français ont été touchés par cette faille.

Le risque de piratage à distance des tondeuses : une menace concrète

L’aspect le plus préoccupant de cette découverte réside dans la possibilité de contrôler à distance les tondeuses robots de tiers. Les chercheurs ont démontré, dans un environnement de test autorisé, qu’il était possible d’associer une tondeuse appartenant à un autre utilisateur à leur propre compte via l’application Mammotion. Une fois cette opération réalisée, ils pouvaient interagir avec l’appareil comme s’il leur appartenait, y compris en envoyant des commandes à distance via les serveurs cloud du fabricant. « Un attaquant n’avait plus besoin d’être sur place pour manipuler la machine », explique Sammy Azdoufal. « Il suffisait d’exploiter les vulnérabilités de l’infrastructure connectée pour envoyer des instructions depuis n’importe quelle localisation. »

Cette capacité à contrôler un objet physique à distance illustre les nouveaux enjeux de la cybersécurité à l’ère des objets connectés. Mammotion commercialise des tondeuses autonomes équipées de moteurs et de lames, capables de se déplacer dans un environnement réel. Une faille dans leur système de contrôle ne menace donc plus uniquement les données numériques, mais aussi la sécurité physique des biens et des personnes.

Des informations Wi-Fi domestiques également exposées

Les chercheurs ont également identifié des vulnérabilités permettant d’accéder à des informations relatives aux réseaux Wi-Fi domestiques des utilisateurs. Les tondeuses connectées de Mammotion doivent pouvoir communiquer avec les serveurs du fabricant et sont souvent configurées pour utiliser le réseau domestique de leur propriétaire. Selon les travaux publiés, certaines requêtes malveillantes permettaient de récupérer le nom du réseau, des données techniques de configuration, voire, dans certains cas, des informations d’authentification. « Une telle exposition dépasse le cadre de l’objet connecté », souligne Kevin Finisterre. « Elle peut compromettre la sécurité globale du réseau domestique d’un utilisateur. »

Une chaîne de vulnérabilités plutôt qu’une faille isolée

L’originalité de cette recherche réside dans le nombre et la diversité des failles identifiées. Au total, 14 vulnérabilités ont été documentées, certaines concernant l’exposition de données personnelles, d’autres permettant de franchir des barrières de sécurité ou d’interagir avec des appareils appartenant à d’autres utilisateurs. « Ce n’est pas une seule faille qui posait problème, mais bien la combinaison de plusieurs vulnérabilités », explique Andreas Makris. « Par exemple, une information permettant d’identifier un compte pouvait être exploitée en conjonction avec une autre faiblesse affectant la gestion des appareils. » Cette approche illustre la complexité croissante de la sécurité dans les écosystèmes connectés, où la faiblesse d’un seul composant peut compromettre l’ensemble de la chaîne.

Et maintenant ?

Mammotion a été informé des vulnérabilités par les chercheurs dès leur découverte, et un processus de correction s’est engagé sur plusieurs mois. Cependant, la publication de ces travaux soulève des questions sur l’efficacité des mesures prises pour sécuriser l’infrastructure du fabricant. À ce stade, il reste à voir si les corrections apportées ont permis de colmater l’ensemble des failles identifiées. Les utilisateurs de tondeuses Mammotion sont invités à mettre à jour leur application et à vérifier les paramètres de sécurité de leur compte. Une surveillance accrue des activités suspectes pourrait également être recommandée, en particulier pour les propriétaires français, dont le pays figure parmi les plus exposés en Europe.

Cette affaire rappelle une fois de plus les défis posés par la sécurisation des objets connectés, où la frontière entre cybersécurité et sécurité physique devient de plus en plus floue. Mammotion, comme d’autres fabricants de devices connectés, devra désormais renforcer ses protocoles de sécurité pour éviter que de telles vulnérabilités ne se reproduisent.

Les chercheurs ont insisté sur l’importance d’une approche proactive en matière de cybersécurité, notamment pour les équipements capables d’interagir avec le monde physique. « La sécurité ne peut plus se limiter à la protection des données », a conclu Sammy Azdoufal. « Elle doit désormais intégrer une dimension physique, car un objet connecté compromis peut devenir une menace bien réelle. »

Non. Selon les chercheurs, ces 337 000 comptes représentent le nombre total de comptes qui auraient pu être récupérés en exploitant les vulnérabilités découvertes. Les chercheurs n’ont pas confirmé qu’un cybercriminel ait effectivement piraté l’ensemble de ces comptes, ni qu’une fuite massive de données ait eu lieu. Il s’agit donc d’une estimation théorique de l’exposition potentielle.

Les chercheurs ont signalé les vulnérabilités à Mammotion avant la publication de leurs travaux, permettant au fabricant d’engager un processus de correction. Cependant, il n’est pas précisé dans les recherches si l’ensemble des 14 failles ont été totalement colmatées. Les corrections pourraient être progressives, et certaines vulnérabilités pourraient encore subsister. Mammotion n’a pas encore communiqué publiquement sur l’état exact de la sécurisation de son infrastructure.