J’ai revendu mon rétroviseur Bluetooth avec le support et le câble juste pour en tirer un meilleur prix : le soir où l’acheteur m’a appelé, j’ai compris ce qui était resté dedans

Le rétroviseur intelligent était vendu avec son support d’origine, son câble d’alimentation et la boîte d’origine, histoire de gonfler un peu le prix sur l’annonce. Ce que je n’avais pas anticipé, c’est que ce petit boîtier collé au pare-brise avait gardé en mémoire bien plus que des réglages d’affichage : un répertoire téléphonique entier, synchronisé des mois plus tôt lors d’un simple appairage Bluetooth. L’acheteur m’a rappelé le soir même, un peu gêné, pour me dire qu’il venait de voir défiler des dizaines de noms et de numéros qui n’étaient pas les siens.

Un appairage anodin, une fuite qui ne l’est pas

Le mécanisme est d’une banalité déconcertante. Dès la première connexion Bluetooth entre un smartphone et un appareil embarqué, qu’il s’agisse d’un rétroviseur connecté, d’un autoradio ou du système multimédia d’une voiture, une fenêtre demande l’autorisation d’accéder aux contacts et au journal d’appels. Lors de la première connexion Bluetooth de votre smartphone, une fenêtre de dialogue apparaît, vous demandant d’autoriser l’accès à vos contacts et à votre journal d’appels, et dans la précipitation, la quasi-totalité des utilisateurs appuient sur « Accepter » sans réfléchir. C’est une erreur. Cet accord n’active pas seulement l’affichage du nom de l’appelant à l’écran : il copie souvent l’intégralité du carnet d’adresses dans la mémoire du système multimédia, et ces données y restent stockées, même après la revente du véhicule, constituant une faille de confidentialité majeure.

Dans mon cas, le rétroviseur n’avait jamais quitté sa voiture. Un simple bouton “réinitialiser l’affichage” dans le menu m’avait paru suffisant. Mais la fonction de reset visible à l’écran ne touche presque jamais à la mémoire d’appairage. C’est exactement ce que confirment les techniciens qui bricolent ces systèmes au quotidien : certains systèmes disposent d’une fonction de réinitialisation accessible depuis le menu des paramètres, mais cette option restaure les réglages d’usine sans effacer les données personnelles. l’écran redevient vierge, l’interface repart de zéro, mais le fichier caché contenant mes contacts, lui, n’a pas bougé d’un octet.

Le problème dépasse largement le rétroviseur

Ce n’est pas un cas isolé, ni même une anomalie propre à ce type de gadget. L’automobile connectée dans son ensemble souffre du même angle mort. Une enquête menée par l’institut de consommation britannique Which? auprès de plus de 14 000 automobilistes ayant revendu leur véhicule a montré que quatre conducteurs sur cinq ne suppriment pas leurs informations personnelles avant de vendre leur voiture. Pire, plus de 50% des conducteurs admettent avoir synchronisé leur smartphone à leur voiture, permettant le transfert de leur liste de contacts, textos et informations de réseau Wi-Fi vers le système embarqué. Le rédacteur en chef du magazine résumait le problème sans détour : « Si les voitures ne sont pas traitées de la même manière qu’un smartphone, une tablette ou autres appareils connectés en matière de sécurité des données, les automobilistes risquent d’offrir un trésor d’informations personnelles lorsqu’ils décident de revendre leur voiture ».

Le Touring Club Suisse, qui a étudié la question sur une dizaine de modèles de véhicules, arrive à une conclusion tout aussi inquiétante sur la complexité réelle de l’opération : dans le meilleur des cas, il suffit de quatre étapes pour supprimer les données du carnet d’adresses de la mémoire d’un véhicule depuis un smartphone, mais cela peut aussi être nettement plus compliqué car, sur certains modèles, il faut naviguer à travers les menus et il faut parfois au moins sept étapes pour effacer entièrement toutes les données. Sept étapes pour un menu que personne ne consulte jamais avant de vendre. Le GPS n’est pas en reste non plus : le GPS garde en mémoire les adresses enregistrées, à commencer par celle du domicile, ce qui, combiné à un répertoire complet, dresse un portrait social et géographique complet du précédent propriétaire.

Comment vraiment nettoyer un appareil avant de le vendre

La bonne nouvelle, c’est que la solution existe et prend rarement plus de deux minutes une fois qu’on sait où chercher. Sur la plupart des smartphones Android, il faut aller au-delà du simple “oubli” d’un appareil Bluetooth et passer par une réinitialisation complète des paramètres réseau, ce qui réinitialise les paramètres réseau, ce qui inclut le Bluetooth, le Wi-Fi et les données mobiles. Sur le gadget lui-même, la manipulation change selon les modèles, mais elle suit généralement une logique similaire : localiser l’option Bluetooth dans le menu des paramètres, puis trouver une option pour « Oublier » ou « Désapparier » les appareils connectés.

Pour un smartphone qu’on revend directement, la marche à suivre est mieux balisée et surtout plus radicale. Une réinitialisation d’usine complète reste la seule garantie sérieuse, dans la mesure où le rétablissement des paramètres d’usine sur un appareil élimine définitivement toutes les données, qui ne pourront plus être récupérées. Les spécialistes de l’effacement de données vont même plus loin et rappellent qu’une simple suppression de fichiers ne suffit pas toujours, puisque il ne suffit pas de supprimer les fichiers ou d’effectuer une réinitialisation d’usine, car il existe des outils de récupération de données qui peuvent encore retrouver les informations sur certains supports de stockage mal effacés.

Mon acheteur a fini par supprimer lui-même la liste en fouillant dans un sous-menu que je n’avais jamais ouvert, planqué sous trois niveaux de réglages Bluetooth avancés. Pas de drame, aucune donnée bancaire, rien d’irréversible. Mais l’épisode a suffi à me convaincre qu’un simple “reset écran” ne vaut rien face à une mémoire flash qui, elle, ne demande jamais la permission avant d’archiver. La prochaine fois qu’un gadget connecté quitte la maison, boîte d’origine ou pas, le détour par le menu “appareils appairés” passera avant celui par le site de petites annonces.

Sources : bitdefender.com | leclaireur.fnac.com