Pendant des années, nous avons considéré la Kindle comme un appareil totalement inoffensif, presque comme un livre papier doté d'un écran. Pourtant, la réalité est qu'elle peut aussi servir de porte d'entrée aux cyberattaques si certaines failles de sécurité sont combinées à des livres numériques malveillants. Ce n'est pas très fréquent, mais le risque existe, et il est important d'en être conscient pour éviter les mauvaises surprises concernant vos informations personnelles et bancaires.
Récemment, plusieurs enquêtes menées par des sociétés comme Check Point Research ont démontré qu'un simple livre numérique permettait de prendre le contrôle d'une liseuse Kindle , d'en supprimer le contenu, de la transformer en bot, voire de voler les identifiants Amazon et les informations de paiement. Examinons de plus près ce qui s'est passé, le fonctionnement de ces failles de sécurité, les mesures prises par Amazon pour les corriger et, surtout, comment utiliser votre Kindle de manière responsable et sans crainte inutile.
Un livre numérique peut-il infecter votre Kindle avec un logiciel malveillant ?
La question que beaucoup se posent est très simple : « Si je télécharge des livres gratuits sur Internet, peuvent-ils infecter ma liseuse Kindle avec un virus ? » La réponse détaillée est que, bien que ce soit rare, il y a eu des cas où un fichier ebook manipulé a exploité des vulnérabilités du logiciel de la liseuse pour exécuter du code malveillant.
Un utilisateur lambda peut télécharger des livres numériques sur son téléphone ou son ordinateur depuis des sites de téléchargement gratuits, puis les transférer via USB ou en utilisant la fonction « Envoyer vers Kindle » . Le simple fait qu'ils proviennent d'un site de téléchargement ne signifie pas automatiquement qu'ils sont dangereux, mais si quelqu'un conçoit un fichier spécifiquement pour exploiter une faille de sécurité du micrologiciel, ce livre peut devenir une porte d'entrée pour une attaque.
D'après des analyses publiées, le format ebook lui-même peut dissimuler un code spécialement conçu pour déclencher une chaîne d'exploitation lors du traitement du fichier par la Kindle. Concrètement, cela signifie qu'à l'ouverture du livre, l'appareil interprète mal certaines données, permettant ainsi à un attaquant d'exécuter des commandes avec des privilèges élevés.
Le plus inquiétant dans ces attaques, c'est que l'utilisateur n'a rien d'inhabituel à faire : il lui suffit de télécharger le livre numérique, de le laisser s'installer sur son appareil et de l'ouvrir comme n'importe quel autre livre. Aucune fenêtre contextuelle ni requête étrange n'apparaît ; la vulnérabilité est exploitée en arrière-plan.
Les conclusions de Check Point Research sur Kindle et les logiciels malveillants
Le choc a été brutalement provoqué par la publication, par Check Point Research (CPR), d'une enquête sur la sécurité de l'Amazon Kindle . Son équipe de veille sur les menaces a analysé en profondeur la liseuse la plus populaire au monde et a découvert plusieurs failles de sécurité permettant des attaques très graves.
Dans ce test, les chercheurs ont préparé un livre numérique malveillant conçu spécifiquement pour exploiter les failles du système de traitement interne des fichiers du Kindle . Dès l'ouverture du livre par l'utilisateur, une chaîne de logiciels malveillants se déclenchait automatiquement, sans aucune autre action requise : ni bouton, ni confirmation, ni installation supplémentaire.
D'après les informations disponibles, si l'attaque réussissait, le cybercriminel pourrait prendre le contrôle total de l'appareil . Il aurait ainsi la possibilité de voler le jeton de l'appareil, d'accéder à des informations sensibles telles que les identifiants du compte Amazon, et même les coordonnées bancaires associées au compte utilisé pour acheter des livres ou payer des abonnements comme Kindle Unlimited.
Eusebio Nieva, directeur technique de Check Point Software pour l'Espagne et le Portugal, explique que les liseuses Kindle sont souvent perçues comme des appareils « inoffensifs » , alors qu'il s'agit en réalité de mini-ordinateurs connectés à Internet. De ce fait, elles présentent de nombreux risques similaires à ceux d'un téléphone portable ou d'un ordinateur ; simplement, on ne les considère généralement pas comme une cible prioritaire.
Lors des tests effectués, CPR a confirmé que le livre électronique malveillant pouvait être téléchargé depuis n'importe quelle bibliothèque virtuelle : non seulement depuis des sites web à la réputation douteuse, mais aussi depuis la boutique Kindle elle-même en tirant parti de la fonction d'auto-édition, et même via le système « Envoyer à Kindle par e-mail ».
Comment fonctionnent les attaques malveillantes contre les ebooks sur Kindle
Le mécanisme d'attaque général documenté par Check Point était relativement simple du point de vue de l'utilisateur : il recevait ou téléchargeait un livre d'apparence normale, l'ouvrait, et le logiciel malveillant s'activait alors . La complexité résidait dans la manière dont le fichier exploitait les vulnérabilités internes du micrologiciel du Kindle.
Lors de la démonstration technique, le livre numérique malveillant a pu exécuter du code avec des privilèges de superutilisateur au sein du système de l'appareil . Ceci a permis des actions intrusives telles que la connexion au serveur distant de l'attaquant, le verrouillage de l'écran, la manipulation du contenu du stockage interne et la collecte de données sensibles stockées sur l'appareil.
Les conséquences potentielles allaient bien au-delà de la simple perte de quelques livres. L'équipe CPR a démontré que l'attaquant pouvait supprimer l'intégralité de la bibliothèque de l'utilisateur, transformer la liseuse Kindle en un bot au sein d'un réseau zombie pour attaquer d'autres ordinateurs du même réseau local, ou encore accéder aux mots de passe, cookies et identifiants du compte Amazon associé.
De plus, ces vulnérabilités ont ouvert la voie à des attaques ciblées par langue, région ou groupe démographique . La simple publication d'un ebook gratuit très attrayant dans une langue spécifique (par exemple, un best-seller roumain) suffit à garantir que la quasi-totalité des victimes sont originaires de ce pays ou parlent cette langue — une cible de choix pour les campagnes de cybercriminalité ou de cyberespionnage.
Un autre facteur important relevé par les chercheurs est que les programmes antivirus traditionnels n'analysent généralement pas les livres numériques comme s'il s'agissait de fichiers exécutables . Cela signifie qu'un livre modifié à des fins malveillantes peut passer inaperçu lors des analyses de sécurité, être disponible gratuitement dans les bibliothèques en ligne (y compris la boutique Kindle) et accumuler des téléchargements sans éveiller les soupçons.
L’autoédition sur la boutique Kindle et le service « Envoyer vers Kindle » comme vecteurs d’attaque
Un aspect essentiel de cette histoire réside dans l'incroyable facilité avec laquelle Amazon permet l'auto-édition de livres . N'importe qui peut mettre en ligne son propre ebook, sans passer par une maison d'édition traditionnelle ni se soumettre à des contrôles éditoriaux trop stricts — une aubaine pour les auteurs indépendants, mais aussi une faille exploitable par les pirates.
Check Point explique que des cybercriminels pourraient mettre en ligne un livre malveillant sur la boutique Kindle, le présentant comme un ouvrage gratuit et d'apparence parfaitement innocente. Attirés par le contenu ou la gratuité, les utilisateurs le téléchargeraient, et la vulnérabilité serait alors activée à l'ouverture du fichier sur leur appareil.
Un autre canal sensible est la fonctionnalité permettant d'envoyer des documents à la liseuse par e-mail , souvent appelée « Envoyer vers Kindle ». Chaque utilisateur dispose d'une adresse spéciale se terminant par kindle.com ; tout fichier envoyé depuis une adresse autorisée est transformé en livre numérique lisible sur la liseuse.
Si la liste des expéditeurs autorisés n'est pas correctement configurée, n'importe qui pourrait envoyer un fichier sur la Kindle du propriétaire à son insu. Dans le cadre d'une attaque, un pirate pourrait tenter d'exploiter cette faille pour transférer un livre numérique modifié directement sur l'appareil, en supposant que l'utilisateur l'ouvrira normalement.
Les experts recommandent donc de vérifier vos paramètres d'envoi vers Kindle et de les limiter aux adresses de confiance uniquement . Cela réduit le risque de recevoir des documents inattendus susceptibles de contenir des logiciels malveillants conçus pour exploiter des vulnérabilités futures ou inconnues.
Gravité des vulnérabilités et des risques liés aux données bancaires
Les failles de sécurité détectées dans Kindle n'étaient pas de simples défauts d'aspect ; selon Check Point, elles pouvaient « causer des dommages importants » si elles tombaient entre de mauvaises mains . Non seulement l'intégrité de la liseuse elle-même était menacée, mais aussi la confidentialité et la sécurité du compte Amazon associé, y compris les informations de facturation potentielles.
En compromettant l'appareil, un attaquant pourrait voler toutes les informations stockées sur le Kindle : du jeton interne qui l'identifie auprès des services Amazon aux identifiants de connexion, aux cookies de session et autres données techniques permettant de lier l'appareil au compte de l'utilisateur.
Dans des cas extrêmes, cela pourrait permettre au cybercriminel d'acheter du contenu sur le compte de la victime, d'accéder à ses informations de paiement ou d'utiliser ces données en combinaison avec d'autres vols pour commettre des fraudes plus sophistiquées. Bien qu'aucune campagne d'envergure exploitant cette faille n'ait été documentée, le potentiel était bien réel et considérable.
De plus, en transformant la Kindle en bot, l'attaquant a renforcé son infrastructure de cybercriminalité. Un lecteur apparemment innocent pouvait ainsi participer à des attaques contre d'autres appareils du réseau local , tels que des ordinateurs, des téléphones portables, voire des routeurs, amplifiant considérablement l'impact de l'intrusion initiée par un simple livre numérique.
Les experts soulignent également que ces vulnérabilités étaient particulièrement intéressantes pour les attaques ciblées , car un livre très populaire dans un pays donné peut devenir le cheval de Troie idéal pour atteindre des milliers de citoyens au profil très spécifique sans éveiller les soupçons.
Chronologie du problème et du correctif d'Amazon (micrologiciel 5.13.5)
Compte tenu de l'ampleur de la découverte, Check Point a agi conformément à sa procédure de divulgation responsable. En février 2021, l'entreprise a notifié Amazon des failles de sécurité identifiées dans Kindle et lui a fourni les détails techniques nécessaires pour que le fabricant puisse enquêter et corriger le problème.
Après avoir analysé les rapports, Amazon a développé une mise à jour du micrologiciel intégrant un correctif pour combler les vulnérabilités exploitées par le livre numérique malveillant . Ce correctif a été déployé en avril 2021 dans le cadre de la version 5.13.5 du logiciel Kindle.
La mise à jour a été automatiquement déployée sur tous les appareils connectés à Internet . Autrement dit, si le Kindle se connecte régulièrement à un réseau Wi-Fi et que les mises à jour automatiques sont activées, il téléchargera et installera le nouveau micrologiciel sans aucune intervention de l'utilisateur.
Cependant, de nombreuses liseuses restent souvent déconnectées pendant de longues périodes ou sont utilisées de manière très isolée, sans synchronisation fréquente . Dans ces cas, l'appareil peut exécuter une version de micrologiciel obsolète et rester vulnérable tant qu'une mise à jour manuelle n'est pas effectuée ou qu'il n'est pas connecté au réseau pendant une durée suffisante.
Plusieurs sources affirment que, même en l'absence de preuves d'une campagne massive d'exploitation de cette faille , la vulnérabilité était bien réelle et potentiellement très dangereuse. La bonne nouvelle est que le problème spécifique découvert par Check Point est résolu dès lors que l'appareil dispose de la version corrigée.
Risques liés au navigateur expérimental et à d'autres vecteurs moins évidents
Les risques liés à Kindle ne se limitent pas aux livres. Il y a aussi le navigateur dit « expérimental » , que certains utilisateurs utilisent occasionnellement pour consulter des sites web simples. Bien que ses fonctionnalités soient limitées, il constitue une porte d'entrée vers Internet et, par conséquent, un vecteur potentiel d'exposition à des contenus malveillants.
Des utilisateurs rapportent que, lors de l'accès à un site web via le navigateur de leur Kindle, l'appareil a commencé à se comporter étrangement : le navigateur se fermait brutalement et l'appareil se bloquait momentanément. Craignant une possible attaque, certains ont recours à des mesures drastiques telles que la suppression des cookies et du cache, la fermeture de la page, voire la réinitialisation du Kindle aux paramètres d'usine.
Dans la plupart des cas, ce type de comportement est davantage dû à des erreurs de navigateur ou à des sites web mal optimisés qu'à une véritable attaque. Cependant, lorsque des cartes de crédit ou de débit, ou des services comme Amazon Prime, sont liés au compte, l'inquiétude de l'utilisateur est parfaitement compréhensible.
Si vous remarquez quoi que ce soit d'inhabituel lors de votre navigation sur votre Kindle, la première chose à faire est de fermer le navigateur, d'effacer les données de navigation et, en cas de doute, de vérifier que votre appareil est à jour . La réinitialisation d'usine est une solution plus radicale qui rétablit l'état initial de l'appareil, effaçant ainsi les paramètres et le contenu local (mais pas les livres stockés dans le cloud).
Il est important de comprendre que, même s'il est techniquement possible de détecter des vulnérabilités liées à la navigation web sur Kindle, ce n'est ni le vecteur d'attaque le plus étudié ni le plus exploité publiquement . L'attention s'est surtout portée sur les livres numériques eux-mêmes et leur gestion au sein du système.
Étapes de base pour utiliser Kindle en toute sécurité contre les logiciels malveillants
Au-delà des détails techniques, ce qui intéresse avant tout le lecteur, c'est de savoir comment minimiser les risques au quotidien . Heureusement, quelques règles de bon sens permettent de réduire considérablement la probabilité de problèmes sans compromettre la praticité de l'appareil.
La première étape consiste à toujours mettre à jour votre Kindle avec la dernière version du micrologiciel disponible . Si vous le laissez généralement débranché, il est conseillé de le connecter au Wi-Fi de temps en temps et de vérifier dans les paramètres que le logiciel est à jour. Ceci est essentiel car les correctifs de sécurité sont distribués via ces mises à jour.
Il est également conseillé de faire attention à la provenance des livres numériques que vous téléchargez . Il ne s'agit pas de diaboliser tous les sites de livres gratuits, mais plutôt d'éviter les pages suspectes, les téléchargements étranges ou les fichiers qui apparaissent de manière inattendue. Plus vous faites confiance à la source du livre, moins il est probable qu'il contienne un élément suspect.
Concernant la fonction « Envoyer vers Kindle », il est conseillé de consulter les paramètres de votre compte et de vérifier la liste des adresses e-mail autorisées . Idéalement, cette liste ne devrait contenir que vos propres adresses ou celles de personnes et de services en qui vous avez pleinement confiance. Moins il y a d'adresses e-mail autorisées à envoyer des fichiers directement vers votre Kindle, mieux c'est.
Enfin, il est important de rappeler qu'une liseuse Kindle, tout comme un téléphone portable ou un ordinateur, ne doit pas être prêtée à n'importe qui pour y installer des logiciels ou se connecter à des réseaux inconnus . Bien qu'elle puisse sembler être un appareil « uniquement destiné à la lecture », elle partage de nombreux principes de base d'hygiène numérique avec les autres appareils connectés.
Globalement, il est clair que la Kindle n'est pas un jouet inoffensif, mais elle n'est pas non plus une bombe à retardement. Grâce aux correctifs publiés par Amazon, aux recherches menées et à quelques précautions de la part de l'utilisateur, lire sur Kindle reste l'un des moyens les plus pratiques et, généralement, les plus sûrs de profiter des livres numériques , à condition de ne pas oublier que sous l'écran à encre électronique se cache un petit ordinateur qui mérite lui aussi d'être protégé.