Amazon a envoyé 1 700 enregistrements Alexa à la mauvaise personne
Amazon, qui veut rendre Alexa « omniprésente », a commis une grosse boulette. Un utilisateur allemand de l’assistant vocal a reçu par erreur les enregistrements d’un autre utilisateur, rapporte le magazine c’t.
Le premier utilisateur, surnommé pour l’article Martin Schneider, avait demandé cet été à Amazon à avoir accès à l’intégralité de ses données personnelles, comme le permet le RGPD. Sauf qu’au lieu de recevoir ses données à lui, Schneider a reçu celles, nombreuses, d’un autre utilisateur. Il s’est retrouvé avec 1 700 enregistrements vocaux ne lui appartenant pas.
N’arrivant pas à entrer en contact avec Amazon, Schneider a contacté le magazine c’t qui a analysé les enregistrements. À partir de toutes les informations distillées dans les commandes vocales (lieux pour la météo, prénoms et noms…), le média a facilement retrouvé le second utilisateur. Il s’avère que lui aussi avait réalisé une demande d’export de données dans le cadre du RGPD.
« Il s’agit d’une erreur humaine malencontreuse et d’un incident isolé, a déclaré Amazon à The Verge. Nous avons résolu le problème avec les deux clients concernés et pris des mesures pour améliorer encore nos opérations. Nous avons également contacté les autorités compétentes à titre préventif. »
Ce n’est pas la première fois qu’Alexa fait voler en éclat l’intimité d’un foyer. Au printemps, un couple américain s’est rendu compte qu’un de ses appareils Echo enregistrait à son insu ses discussions privées et les partageait ensuite à un contact présent dans le carnet d’adresses de la famille.
Vous pouvez consulter et supprimer l’historique de vos commandes vocales dans l’application Alexa (Paramètres > Compte Alexa > Historique) ainsi que dans votre espace client Amazon (Votre compte > Contenu et appareils > Confidentialité Alexa > Voir l’historique vocal). Il n’est pas possible de désactiver l’enregistrement automatique des commandes. Si vous ne voulez pas qu’Amazon les conserve, il faut faire le ménage régulièrement.
Amazon justifie ainsi l’enregistrement des requêtes vocales :
un enregistrement de ce que vous avez demandé est envoyé vers les serveurs d’Amazon pour que nos systèmes de reconnaissance vocale et de compréhension du langage naturel puissent traiter et répondre à votre demande. Nous associons vos demandes avec votre compte Amazon pour vous permettre d’accéder à d’autres services Amazon […] et vous offrir une expérience plus personnalisée. Par exemple, garder la trace des chansons que vous avez écoutées aide Alexa à choisir quelles chansons jouer lorsque vous dites « Alexa, joue de la musique ».
J’ai du mal à concevoir qu’on ne puisse pas être effrayé par ce genre de techno intrusive. La confiance aveugle qu’on est capable de donner est surprenant.
@seb4ever
D’un côté c’est hyper flippant mais d’un autre côté ce sont des cas isolés. Si on devait faire un pourcentage d’erreurs, on doit certainement tomber sous les 0,01%.
J’avais regardé un reportage sur un groupe de hackers qui a réussi à pénétrer en wifi une telle enceinte. L’enceinte avait le micro coupé et le hacker n’avait aucun mal à entendre ce qui s’y passait. Donc même en appuyant sur le bouton pour avoir de l’intimité, le micro continue d’être fonctionnel.
Malgré tout, il est clair que personnellement, il. Y a aucune chance pour qu’un truc comme ça finisse chez moi.
@roccoyop
Malheureusement si c’est possible. Tu demandes tes données à MacG et MacG les envoie à la mauvaise personne.
@hirtrey
Les infos que je laisse à MacG ou sur un autre site je contrôle à peu près et c’est externe à mon domicile. Une enceinte avec un micro qui écoute en permanence chez moi c’est tout de même un autre niveau, bien au-dessus de la barre que je me suis fixé.
@roccoyop
Jamais ce genre de chose ne rentrera chez moi...
@roccoyop
« D’un côté c’est hyper flippant mais d’un autre côté ce sont des cas isolés »
On peut se dire ça.
On peut penser aussi qu’il n’y a pas de hasard et que ces « cas isolés » sont la partie symptomatique émergée de l’iceberg qui objectivent un système défaillant et malsain à la base.
@Bigdidou
Je te rejoins sur le côté malsain, surtout côté éducation. J’ai lu une étude qui expliquait que les enfants commencent à s’habituer à donner des ordres à une machine et que cela transparaît sur l’humain. Le « stp » et « merci » deviennent marginaux puisqu’ils obtiennent tout avec n’importe quel ton employé.
Cela pourrait arriver avec ta banque. Et cela ne t effraye pas.. Tu caches ton argent sous ton matelas ?
@Ze_misanthrope
À mon sens ce n’est pas la même chose. La donnée du volume de ton argent en banque n’est pas sensible. Et au cas où on récupèrerait tes codes et que l’on te dépouillerait, il y aurait une trace informatique et une assurance qui te couvrirait toi et ta banque.
Là pour prouver qu’on a récupéré tes conversations (donc données) il faut qu’il y ait ce genre de cas un peu extrême donc difficilement traçable aujourd’hui.
Les données sensibles concernent peu de foyers actuellement mais plus tard avec l’intelligence artificielle l’écoute à grande échelle sera bien plus « dangereuse » et surtout économiquement très intéressant pour les entreprises qui détiendront ces outils.
Sous couvert de rendre un service à son utilisateur tu donnes encore plus d’éléments d’analyse. Une entreprise comme Google peut savoir quels site tu visites et quelles vidéos tu regardes mais pas ce que tu en penses. Là ça sera possible et l’analyse sera beaucoup plus pertinente. Ce sera à double tranchant bien sûr (détection d’attentat par exemple) mais cela donne un « pouvoir » bien trop important à une entité qui recherche avant tout le profit.
@Ze_misanthrope
« Cela pourrait arriver avec ta banque »
La différence de taille est précisément que ça n’arrive pas.
Probablement parce que contrairement à Amazon, les banque ont appréhendé ce risque et le prennent correctement en compte.
Et le HomePod il fait quoi ? Il enregistre aussi ? C’est gerable quelque part ?
@olivevm
Il est capable de le faire oui après il n’enregistre pas forcément tout. C’est juste une porte ouverte dans ton « intimité ».
Franchement faut arrêter aver les enceintes qui écoutent…
C'est la même chose partout. J'ai essayé "dis Siri" hors connexion à plusieurs reprises pour vérifier. Le fait que l'iPhone me dise que je suis hors connexion signifie que le micro est activé en permanence. Autrement il n'y aurait aucune réponse si je ne suis pas connecté. Mais c'est le prix à payer pour notre paresse
Les gilets jaunes ne savent pas la chance qu'ils ont de vivre sur les rond points à l'écart des GAFA finalement :)
@Osei Tutu
Bah bien sûr que dis Siri fonctionne sans connexion internet... c’est normal...
Il ne fonctionne pas sans connexion internet puisqu'il te dit qu'il doit être connecté pour traiter ta requête. La réponse est ''Siri n'est pas disponible. Vous n'êtes pas connecté à internet''. Tu peux vérifier. Après je ne m'en plains pas dès lors que c'est moi qui active la fonctionnalité
« Dis siri » fonctionne sans connexion internet, c’est traité en locale, c’est pour ça ! Sinon, ce ne serait pas aussi rapide à ce déclencher
Peut être que je ne sais pas lire ou bien je ne comprends pas ce que je lis. Sur mon téléphone il ne répond à aucune requête en l'absence de connexion. Et je ne dis pas que le tien ne le fait pas, je dis ce que je lis sur mon écran. Merci
@bidibout
Oui c’est la même chose !
@bidibout
J’ai désactivé Dis Siri et beaucoup de fonction de location, tracking d’activité, Home Kit, géolocalisation, rapport de plantages, suivis de publicités...
Bref.
Et je ne crois pas aux théorie du complot.
@misterbrown
"J’ai désactivé Dis Siri et beaucoup de fonction de location, tracking d’activité, Home Kit, géolocalisation, rapport de plantages, suivis de publicités..."
----------
Bref, ton téléphone n'est plus Smart.
Retour au Nokia 3310
@charlie105
Entièrement d’accord.
Il y a deux poids deux mesures.
Un particulier c’est pas grave.
Une entreprise c’est autre chose.
Si les « gafa » devaient dédommager avec plusieurs centaines de milliers de ?chaque manquements du respect, ce serait différent. Mais comme c’est minimisé car c’est un particulier, pourquoi ne pas continuer.
Le cas de Facebook démontre bien la situation (condamnation par la CNIL (100000€) ?)
J’ai du mal à imaginer qu’on peut avoir un appareil qui enregistre tout le temps à la maison, et qu’on puisse se sentir en sécurité
@misterbrown
Tant que ce sont « les gentils » qui écoutent…
Et là, le recours au RGPD risqué de faire mal à Amazon.
Ce qui est fou si c’est une erreur humaine c’est que la requête soit traitée manuellement et pas informatiquement et automatiquement !!
Incroyable pour une boîte de cette taille
@guill
"Ce qui est fou si c’est une erreur humaine c’est que la requête soit traitée manuellement et pas informatiquement et automatiquement !!
---------
C'est très probablement justement pour des raisons de sécurité que la requête n'est pas traité automatiquement.
Seul un workflow totalement automatisé utilisant l'ID du compte à chaque étape comme clé unique permet de garantir que seul le demandeur recevra bien les infos le concernant sans croisement possible.
Toute intervention manuelle induit une possibilité d'erreur.
@SyMich
"Toute intervention manuelle induit une possibilité d'erreur."
--------------
Toute intervention automatisé induit obligatoirement une possibilité plus que certaine de hacking et donc de vols de données.
L'obligation d'en passer par une intervention humaine ne supprime pas tous les risques mais les limite drastiquement.
Je ne suis pas du tout ok avec ce postulat.
Si les extractions sont faites manuellement par un opérateur humain ayant des codes d'accès spécifiques pour le faire, c'est une fragilité en terme de sécurité d'accès aux données. Le social engineering (consistant à récupérer par la ruse les codes d'accès des personnels habilités) est la cause première de hacking.
Et puisqu'on parle sécurité d'accès aux données, je suis également choquée que ces conversations enregistrées ne soient pas chiffrées avant envoi au destinataire de telle sorte que seule la saisie de l'ID et mot de passe associé permette de les déchiffrer. Si tel était le cas, le mauvais destinataire n'aurait reçu qu'un fichier indéchiffrable au lieu d'accéder aux enregistrements en clair.
@MarcMame
« L'obligation d'en passer par une intervention humaine ne supprime pas tous les risques mais les limite drastiquement. »
J’affirme, comme SyMich et bibliographie considérable de sciences comportementales à l’appui, qu’au contraire une intervention humaine fait exploser le risque.
Perso j’utilise une caméra connecté qui filme mon appartement et un HomePod et je ne vois pas le problème que le micro écoute pour remarquer un Hey Siri. Il y a un peu trop de paranoïa à ce sujet quand même, tout le monde se moque de la petite vie d’un tout un chacun noyé dans des centaines de millions d’autre utilisateur.
Et puis tant mieux si le profilage permet de mieux cibler mes envie d’achat et de me proposer du contenu adapté, la aussi j’ai jamais compris ce qui frustre les gens. A part peut être la jalousie que ce ne soit pas eu qui ai eu l’idée de mettre ça en place...
Et que ce profilage de vos goûts et opinions permette, via l'envoi d'informations ciblées, éventuellement fausses, d'orienter votre vote aux élections, ça ne vous pose pas problème non plus?
@SyMich
Y’a bien longtemps que je me fou royalement des élections et du système politique donc non honnêtement ça ne me dérange pas.
@MarcMame
Je te retourne le compliment, je pense ne pas être le seul à ne pas vivre dans un monde de paranoïa aiguë...
@bossdupad
"j’ai jamais compris ce qui frustre les gens."
---------
On ne te demande pas de comprendre mais juste d'accepter que tout le monde ne puisse pas obligatoirement penser comme toi.
J’ai du mal à saisir le bashing concernant les enceintes connectées...
Quid des téléphones ? Des pc ? De tout ce qui a un micro en fait...
Vous êtes bien naïfs à croire qu’une enceinte connectée donne plus d’exposition que n’importe quel appareil en ligne qui possède un micro.
A moins qu’il soit physiquement déconnecté, tout micro est possiblement hackable, qu’il soit désactivé ou non...
@Lonsparks23
Bien sûr ; et encore dans le cas présent c’est plus ou moins médiatisé, ce qui n’est pas forcément le cas des autres cas que vous citez
Mais sans même parler de hacking, c'est le principe même de ces enceintes que d'enregistrer vos demandes et de conserver ces requêtes pour vous "profiler" (comme expliqué par Amazon dans le texte rappelé en fin d'article) et permettre à ces sociétés d'en savoir toujours plus sur vous jusqu'à être capable d'influer sur votre libre arbitre.
Boursorama fait une publicité avec « OK Google quel est le solde de mon compte ? »
Ce qui est vraiment effrayant, c’est qu’il semble que 99 % de la population soit parfaitement alaise avec le fait que Google connaissent le solde de leur compte en banque…
Entre Android, Gmail et Googledoc, j’en viens à me demander ce que Google ne connaît pas des « heureux utilisateurs de ses services »
❓?❓
Qui veut d'une enceinte connectée Facebook ? Et les scandales qui s'en suivront..
Un jour on apprendra que certaine de ces enceintes connectées ont servis accessoirement à récolter des données personnelles pour être ensuite revendue ou partagées. Ou même une smart TV d'une obscure marque chinoise