Portes, badges et cartes-clés : le contrôle d’accès est un ordinateur

Une porte qui dépend d’un boîtier ou d’un PC

Dans un immeuble récent, la porte d’entrée, le portail du parking et la porte de la cave s’ouvrent avec un badge, une carte ou un code. Derrière le lecteur se trouve un contrôleur, souvent un petit serveur sous Linux doté d’une interface web ; derrière la carte-clé d’un hôtel, un poste Windows qui l’encode. La question, pour un syndic, un gestionnaire ou un dirigeant, est simple : que se passe-t-il le jour où cette machine est attaquée ? Quatre cas documentés permettent d’y répondre sans exagérer ni minimiser : des contrôleurs d’accès exploités en masse (Nortek eMerge E3), une faille de serrure d’hôtel utilisée pour cambrioler (Onity), un rançongiciel qui empêche de fabriquer les cartes-clés (Seehotel Jägerwirt) et une fuite de données qui emporte les codes de boîtes à clés (City Relay).

Nortek eMerge E3 : des contrôleurs de portes exploités en masse (2019-2024)

Le Linear eMerge E3 de Nortek est le boîtier qui décide si un badge ouvre une porte. C’est aussi un serveur web. En avril 2019, à Singapour, le chercheur Gjoko Krstic, alors chez Applied Risk, présente dix vulnérabilités de ce produit, dont six critiques ; d’après SecurityWeek, Nortek est le seul fabricant concerné par ses travaux à refuser le dialogue. Le 12 novembre 2019, des codes d’exploitation sont publiés sur Exploit-DB.

Début février 2020, SonicWall observe une exploitation massive, rapportée par SecurityWeek le 3 février 2020 : des dizaines de milliers de tentatives par jour, une commande qui télécharge et installe un logiciel malveillant, puis l’usage du contrôleur pour lancer des attaques par déni de service contre des tiers. Plus de 2 300 appareils étaient alors exposés sur Internet.

La faille principale, CVE-2019-7256, est une injection de commande sans authentification par l’interface web, notée 10.0 dans l’avis de la CISA et 9.8 par le NVD. Des identifiants codés en dur (CVE-2019-7261 et CVE-2019-7265, 9.8) ouvrent ensuite la voie jusqu’aux droits complets. L’avis ICSA-24-065-01 de la CISA recense en tout douze vulnérabilités, dont un téléversement de fichier non restreint (CVE-2019-7257, 10.0).

Ce qui frappe est le calendrier. La CISA publie un avis le 2 juillet 2020 pour un modèle voisin, l’eMerge 50P/5000P, mais la série E3 et CVE-2019-7256, pourtant exploitée depuis février 2020 au moins, n’ont aucun avis avant le 5 mars 2024. Le 25 mars 2024, la CISA ajoute CVE-2019-7256 à son catalogue des vulnérabilités exploitées. Le correctif du fabricant date de 2023-2024, environ cinq ans après la divulgation. Entre-temps, l’avis conjoint du FBI, du CNMF et de la NSA du 18 septembre 2024 sur le botnet dit « Raptor Train », plus de 260 000 appareils en juin 2024, liste CVE-2019-7256 parmi les failles utilisées, sans chiffrer la part des contrôleurs Nortek. Un bulletin du FBI du 16 décembre 2024 signale des balayages de la campagne HiatusRAT visant la même faille, et VulnCheck signale le 8 octobre 2024 une nouvelle injection de commande sans authentification, CVE-2024-9441 (9.8), sans correctif disponible à cette date.

Aucun cas public nommé n’a rapporté d’ouverture de porte malveillante ni d’effacement de journaux par cette voie. La capacité existe, puisque l’attaquant obtient les droits complets ; l’usage observé est le déni de service contre des tiers. Les portes continuent de fonctionner, et rien ne signale au gestionnaire que son boîtier attaque quelqu’un d’autre. Les mesures recommandées par la CISA sont classiques : mise à jour du micrologiciel, isolement réseau, pare-feu, VPN pour l’accès distant et changement des identifiants d’usine.

Serrures Onity : une faille de conférence, des cambriolages deux mois plus tard (2012)

En juillet 2012, à la conférence Black Hat USA, Cody Brocious montre qu’un appareil bricolé pour une cinquantaine de dollars, branché sur le port d’alimentation continue situé sous une serrure d’hôtel Onity, lit la mémoire de la serrure, en extrait la clé et l’ouvre. Quatre millions de chambres sont concernées. Le 17 août 2012, Onity annonce deux mesures : un bouchon et une vis Torx gratuits pour obstruer le port, et une nouvelle carte électronique à tarif spécial, port et main-d’œuvre restant à la charge des hôtels, comme le rapporte The Register.

En septembre 2012, une série de cambriolages touche le Hyatt House Galleria de Houston, exploité par le franchisé White Lodging. Le 31 octobre, la police arrête Matthew Allen Cook, 27 ans, après qu’un ordinateur portable volé est réapparu chez un prêteur sur gages. Il faut ici séparer ce que dit l’exploitant de ce qu’établit la justice : White Lodging a déclaré penser que les chambres avaient été ouvertes avec l’appareil exploitant la faille, tandis que la police, d’après NBC News, laissait au parquet le soin d’établir la méthode d’entrée.

La faille n’a pas de numéro CVE : c’est un défaut matériel, tenant à une cryptographie faible et à des données de clé non protégées dans la serrure. Le correctif est donc mécanique ou matériel, pas logiciel : une intervention physique par porte. Le Hyatt de Houston a posté des agents de sécurité et collé les ports à l’époxy, un palliatif plutôt qu’une correction. Le 6 décembre 2012, Onity accepte de prendre à sa charge le remplacement des cartes électroniques pour les grandes chaînes américaines, sur les serrures posées après 2005. Quatre mois après la divulgation, l’assureur Petra Risk Solutions indiquait qu’un cinquième de ses clients n’avaient pas encore traité le problème.

Seehotel Jägerwirt : le rançongiciel qui empêche de fabriquer les cartes-clés (2016-2017)

Le Romantik Seehotel Jägerwirt, sur la Turracher Höhe en Autriche, gère ses chambres par cartes-clés. Le poste Windows qui encode ces cartes porte aussi la réservation et la caisse : une seule machine pour trois fonctions vitales. D’après le reportage de l’ORF Kärnten du 22 janvier 2017, l’établissement subit une première attaque à l’été 2016, avec une remise en état de plusieurs milliers d’euros que l’assurance ne rembourse pas. La plus grave survient le week-end d’ouverture de la saison d’hiver 2016-2017 : système de clés, réservation et caisses sont bloqués alors que l’hôtel est complet, avec 180 clients, et qu’il vient de rouvrir après trois semaines de fermeture sans sauvegarde récente des données.

Pendant une journée, il est impossible de fabriquer de nouvelles cartes pour les arrivants. Le directeur, Christoph Brandstätter, paie deux bitcoins, soit environ 1 500 euros, et les systèmes sont débloqués aussitôt. Le vecteur d’infection initial n’a pas été publié ; le personnel a ensuite été sensibilisé aux courriels piégés. Aucune vulnérabilité identifiée par un CVE n’est en cause.

Une correction s’impose. L’ORF écrit que les arrivants ne pouvaient plus entrer dans les chambres, faute de cartes ; la presse anglophone a durci en « clients enfermés ». Une semaine plus tard, le directeur précise à BleepingComputer, qui corrige son titre le 29 janvier 2017, que « nobody was locked in or out » : les serrures s’ouvrent manuellement de l’intérieur, conformément aux normes incendie, et les clients présents ont à peine remarqué l’incident.

Payer n’a pas mis fin aux tentatives. Dans la nuit du 21 au 22 janvier 2017, une nouvelle attaque est contenue sans rançon, en mettant les systèmes hors ligne ; le décompte exact des attaques varie d’une source à l’autre. Le bilan, tel que le rapportent l’ORF et BleepingComputer : 1 500 euros de rançon payés une seule fois, environ 10 000 euros de dépenses de sécurité ensuite, rien versé par l’assurance faute d’auteur identifié, et un retour annoncé aux clés mécaniques à la prochaine rénovation. La remise en état a consisté à découpler les systèmes, remplacer les PC, séparer les réseaux, sensibiliser le personnel et mettre en place des sauvegardes sur bandes non reliées au réseau.

City Relay : les codes des boîtes à clés dans une fuite de données (2026)

City Relay, gestionnaire de biens à Londres et à Paris, découvre le 8 septembre 2026 deux accès non autorisés à son instance Metabase Cloud, un outil de reporting relié à ses bases de production. Le 14 septembre, la société notifie par courriel ses propriétaires partenaires ; The Register publie le 17 septembre. Les données exposées comprennent noms, courriels, adresses postales, téléphones, mots de passe de comptes, coordonnées bancaires (IBAN et références SWIFT notamment) ainsi que les détails d’accès aux biens et les codes des boîtes à clés. Le nombre de personnes concernées n’a pas été communiqué.

Le lien avec une faille précise reste, à ce stade, une hypothèse de presse. Metabase a corrigé le 6 août 2026 une injection SQL sans authentification, CVE-2026-72898, notée 10.0, documentée dans un avis de sécurité GHSA et ajoutée au catalogue des vulnérabilités exploitées de la CISA le 11 août ; The Hacker News en rapportait l’exploitation active dès le 8 août. Dans son compte rendu du 27 août, Metabase indique que moins de 3 % de ses clients en nuage ont été compromis. The Register rapproche les deux affaires, mais ni City Relay, qui parle d’une vulnérabilité de la plateforme dont elle n’avait pas connaissance, ni Metabase n’ont confirmé ce lien.

La réponse tient en une phrase : City Relay a immédiatement fait changer les codes d’accès et de boîtes à clés concernés. Un code de boîte à clés, un digicode ou un badge enregistré dans une base est une clé physique ; quand la base fuit, il faut changer la serrure, ou son code, dans chaque bien concerné. Sur le plan réglementaire, le RGPD demande une notification à l’autorité de contrôle dans les 72 heures (article 33) et une information des personnes sans retard injustifié (article 34) ; six jours entre la découverte et le courriel aux clients ne constituent pas en soi une infraction.

Ce que cela apprend à un immeuble ou une copropriété au Luxembourg

Aucun de ces quatre cas ne s’est produit au Luxembourg, et aucun ne concerne une copropriété au sens strict. Les mécanismes, eux, se transposent à une résidence à badges, à un immeuble de bureaux ou à un gestionnaire qui tient des codes de boîtes à clés dans un logiciel. Si vous gérez l’un de ces ensembles, les gestes qui suivent découlent des quatre cas.

• Inventorier les équipements de contrôle d’accès : marque, modèle, version du micrologiciel, et surtout ce qui est joignable depuis Internet. Un contrôleur exposé est attaqué en masse, sans que quiconque vise votre immeuble.
• Retirer d’Internet tout boîtier de porte et n’autoriser la télémaintenance que par VPN, derrière un pare-feu. Attendre un avis d’autorité ne suffit pas : il a fallu quatre ans pour l’eMerge E3.
• Changer les identifiants d’usine à la mise en service, et écarter un produit dont les identifiants sont codés en dur sans possibilité de les modifier.
• Segmenter : le réseau des portes, celui de la bureautique du syndic ou du concierge et celui des habitants n’ont pas à se voir.
• Ne pas faire porter plusieurs fonctions vitales par une seule machine : le PC qui encode les badges n’a pas vocation à être aussi celui de la comptabilité ou de la messagerie.
• Sauvegarder hors ligne et tester la restauration avant l’incident. À Jägerwirt, c’est l’absence de sauvegarde récente qui a conduit à la rançon.
• Prévoir le mode dégradé : un passe mécanique, des badges pré-encodés, et la vérification que chaque porte s’ouvre de l’intérieur sans électricité ni réseau, comme c’était le cas à Jägerwirt.
• Interroger le fournisseur avant l’achat : comment la clé est-elle protégée dans la serrure, comment met-on à jour, quelle est la durée de support ? Onity rappelle qu’une faille matérielle se corrige par une intervention par porte, à budgéter.
• Écrire le contrat prestataire : qui accède aux contrôleurs à distance et par quel chemin, qui suit les avis de sécurité du fabricant, sous quel délai un correctif est appliqué, qui conserve les journaux.
• Traiter les codes comme des clés : un code de boîte à clés ou un digicode stocké dans un logiciel du gestionnaire se change après tout incident, ne se conserve pas en clair et ne se communique pas à un prestataire qui n’en a pas besoin.
• Lire la police d’assurance avant l’incident : à Jägerwirt, l’assureur n’a rien versé faute d’auteur identifié.
• Préparer la notification : en cas de fuite de données personnelles, l’autorité de contrôle, au Luxembourg la CNPD, doit être notifiée dans les 72 heures et les personnes concernées informées sans retard injustifié.

Aucun de ces quatre cas ne repose sur une technique hors de portée. Un port sous une serrure, une interface web laissée sur Internet, un PC sans sauvegarde, un outil de reporting relié à la base de production : ce sont des choix d’organisation, qui se corrigent en assemblée générale et dans les contrats, à froid.

Sources

• CISA, avis ICSA-24-065-01, Nortek Linear eMerge E3 (5 mars 2024) : cisa.gov
• CISA, ajout de CVE-2019-7256 au catalogue KEV (25 mars 2024) : cisa.gov
• SecurityWeek, exploitation observée par SonicWall (3 février 2020) : securityweek.com
• SecurityWeek, correctif tardif (12 mars 2024) : securityweek.com
• FBI, CNMF et NSA, avis conjoint sur le botnet Raptor Train (18 septembre 2024) : ic3.gov
• VulnCheck, CVE-2024-9441 (8 octobre 2024) : vulncheck.com
• FBI, bulletin HiatusRAT (16 décembre 2024) : ic3.gov
• Exploit-DB 47619 (12 novembre 2019) : exploit-db.com
• The Register, serrures Onity (27 novembre 2012) : theregister.com
• NBC News, cambriolages de Houston (27 novembre 2012) : nbcnews.com
• ORF Kärnten, Seehotel Jägerwirt (22 janvier 2017) : kaernten.orf.at
• BleepingComputer, Seehotel Jägerwirt (29 janvier 2017) : bleepingcomputer.com
• The Register, City Relay (17 septembre 2026) : theregister.com
• Metabase, compte rendu de la vulnérabilité (27 août 2026) : metabase.com
• The Hacker News, faille Metabase exploitée (8 août 2026) : thehackernews.com
• Avis GHSA-vwf4-m7j8-wcjf, Metabase (6 août 2026) : github.com