Les failles de sécurité de Tile permettent un suivi sans consentement

Des failles de sécurité dans les balises Tile pourraient permettre à Life360, la société mère de Tile, ainsi qu'à des harceleurs techniquement compétents de suivre la localisation des utilisateurs, selon des chercheurs de l'Institut de Technologie de Géorgie. Contrairement aux AirTags d'Apple, qui utilisent des codes d'identification rotatifs chiffrés, les balises Tile diffusent une adresse MAC statique non chiffrée ainsi qu'un identifiant rotatif prévisible, créant des vulnérabilités significatives.

Problèmes de sécurité clés sur les produits Tile

• Transmission de données non chiffrées : Les balises Tile envoient leur adresse MAC, leur identifiant unique et les données de localisation aux serveurs de Life360 en texte clair, permettant potentiellement à l'entreprise de suivre les utilisateurs malgré ses affirmations contraires.
• Identifiants prévisibles : L'identifiant rotatif n'est pas généré de manière sécurisée, permettant aux attaquants de prédire les futurs identifiants à partir d'un seul message intercepté, rendant possible un suivi à vie de l'appareil.
• Risques de harcèlement : Toute personne équipée d'un scanner de fréquences radio peut intercepter les données non chiffrées des balises Tile, facilitant un suivi non autorisé.
• Faille du mode antivol : L'activation du mode antivol rend une balise indétectable par les scans anti-harcèlement, permettant à un harceleur de dissimuler une balise utilisée pour le suivi.
• Vulnérabilité d'usurpation : Des acteurs malveillants peuvent capturer l'adresse MAC et l'identifiant d'une balise, puis les rediffuser ailleurs pour faire croire à tort que le propriétaire de la balise harcèle quelqu'un.

Comparaison avec les AirTags

Les AirTags diffusent uniquement des identifiants rotatifs chiffrés, empêchant une identification statique ou un suivi sans déchiffrement. L'adresse MAC non chiffrée et les identifiants prévisibles de Tile exposent les utilisateurs à des risques de surveillance.

Résultats des chercheurs et réponse de l'entreprise

Akshaya Kumar, Anna Raymaker et Michael Specter ont signalé ces problèmes à Life360 en novembre 2024, mais les communications n'ont cessé qu'en février 2025. Life360 a indiqué à Wired avoir apporté des améliorations à la sécurité, sans confirmer si les failles identifiées ont été corrigées.

Ces vulnérabilités soulignent des risques graves pour la vie privée des utilisateurs de Tile, permettant potentiellement un suivi par l'entreprise ou des acteurs malveillants. Une jolie publicité pour les AirTags...