Pass sanitaire : comment Bob l’éponge et Adolf Hitler ont pu obtenir un vrai QR Code

Adolf Hitler, Bob l'éponge et Mickey Mouse ont visiblement reçu leur dose de vaccin contre la Covid-19. En effet, depuis quelques jours, de certificats sanitaires européens à leur nom circulent sur le net. Comment expliquer ça ? Plusieurs théories s'opposent à l'heure actuelle.

Depuis plusieurs jours maintenant, des certificats sanitaires européens validés d'Adolf Hitler, de Mickey Mouse ou encore de Bob l'éponge circulent sur le net. Plus qu'une mauvaise blague, il pourrait s'agir d'une grave faille de sécurité à même de menacer “la chaîne de confiance de l'architecture” du Green Pass, la solution de certificat Covid valable au sein de l'Union européenne.

Ces QR Code sont diffusés notamment sur GitHub ou encore sur certains groupes fermés sur le messagerie Telegram. D'après nos confrères de BFMTV, ils sont reconnus comme conformes lorsqu'on les scanne sur l'application TousAntiCovidVerif. Même son de cloche du côté de l'appli belge CovidScan ou encore de l'application officielle de la confédération suisse Covid Certificate Check.

Pour l'instant, la lumière n'a pas encore faite sur cette affaire. D'après Denys Vitali, ingénieur pour Swisscom, il est très peu probable qu'il s'agisse d'une fuite de clés privées. Pour lui, l'hypothèse la plus plausible est la suivante : un individu aurait rompu la chaîne de confiance entre un gouvernement européen et le corps médical qui est le seul habilité à émettre des certificats valides. En d'autres termes, un logiciel malveillant a pu être installé sur des ordinateurs appartenant à des médecins, de sorte à pouvoir générer à volonté des pass comme s'ils étaient émis par des professionnels de santé.

Une plateforme pour générer des QR codes laissée ouverte au public

Cependant, nos confrères de BFM TV ont une toute autre version. Selon leurs informations, l'auteur de ce piratage vend actuellement ces QR codes nominatifs sur un forum de hackers sur le Dark Web. D'autres certificats falsifiés circulent actuellement en Europe, dont certains seraient émis depuis la Macédoine du Nord. Une faille au niveau des serveurs officiels du pays en serait la cause. Plus précisément, une page web dédiée à la création de ces QR codes a été accessible à tous pendant quelques heures.

Il était ainsi possible pour n'importe quel quidam de créer des pass sanitaires valides avec n'importe quel nom, n'importe quel vaccin ou encore n'importe quel nombre de doses entre 1 à 9 et émanant de n'importe quel pays de l'EU. Il faut préciser que ces certificats sanitaires européens sont générés de la même manière dans l'intégralité des pays membres de l'UE. En d'autres termes, si le processus de signature électronique d'un pays est compromis, l'ensemble des QR codes générés frauduleusement sera valable partout en Europe.

“Le problème est que l'autorité de santé a laissé un serveur accessible publiquement, qui signe tout ce qu'on lui demande sans rien vérifier. C'est assez similaire à des faux QR codes qui auraient été générés en piratant le compte d'un pharmacien ou d'un médecin, sauf que là c'est au niveau du service de génération de QR code plutôt qu'au niveau d'un professionnel de santé”, détaille Gaëtan Leurent, chercheur en sécurité informatique pour l'INRIA.

D'après les experts en cybersécurité qui ont eu accès à cette plateforme hébergée en Macédoine du Nord, elle est désormais fermée au public. En outre, les QR codes générés au nom d'Adolf Hitler, de Mickey Mouse ou encore de Bob l'éponge ont été signalés comme frauduleux sur les différentes applications de vérification européennes.

Source : BFM TV