Android TV est un système d'exploitation largement déployé dans les foyers, des téléviseurs de certaines marques (Sony, Philips, etc.) aux Box de certains opérateurs — pas chez Orange — en passant par de nombreux boîtiers TV. Et le système a une faille un peu étonnante qui peut poser de gros soucis : si une personne a un accès physique à l'appareil, elle peut se connecter sur un compte Gmail sans connaître son mot de passe.

Le problème est simple : Android TV ne propose pas de navigateur par défaut, mais il est possible d'en ajouter un en bidouillant un peu. Une vidéo montre une méthode, qui consiste à télécharger un navigateur (TV Bro) pour aller ensuite installer directement Chrome depuis un fichier APK (le nom donné aux applications installables sans passer par un magasin d'application). Et une fois Chrome installé, il suffit de se connecter sur Gmail ou Google Drive pour éventuellement avoir accès aux données du propriétaire de l'appareil.

Ce n'est pas automatique, mais potentiellement très courant : si vous êtes connectés sur un compte YouTube, le système vous connecte aussi sur les autres services de Google. Cette fonction est normalement invisible, faute de navigateur, mais une fois Chrome installé, les données liées au compte YouTube sont accessibles sans mot de passe. La faille nécessite donc un accès physique pour l'installation mais aussi pour l'accès à Chrome. En effet, le navigateur n'est pas prévu pour une navigation à la télécommande, mais il est généralement possible de connecter un clavier et une souris aux appareils sous Android TV, que ce soit en Bluetooth ou en USB.

Comme l'indique 404 Media, Google a d'abord indiqué que c'était le comportement attendu (It's not a bug, it's a feature), avant d'indiquer que les versions récentes d'Android TV (sans plus de précisions) ne permettaient pas d'exploiter la faille et qu'une mise à jour était en train d'être poussée. Elle nécessite par contre a priori que le constructeur de l'appareil effectue un suivi de son système d'exploitation, ce qui n'est pas réellement la règle dans le monde Android.

Reste que si la faille de sécurité peut avoir de fâcheuses conséquences, le fait qu'elle nécessite un accès physique limite tout de même en partie les risques. Mais dans le doute, surtout si votre téléviseur est dans un endroit public, nous vous conseillons de vous déconnecter de votre compte YouTube si vous avez des données sensibles sur le compte Google associé ou d'employer un compte dédié uniquement à cet usage.