Test de la caméra d’intérieur eufy Cam S350 : respect de la confidentialité

Parmi les points positifs, vous avez la possibilité d’utiliser une carte MicroSD pour le stockage local. Eufy vous demande également si vous souhaitez activer le microphone lors de la première mise en marche de la caméra. Même s’il est activé, certaines fonctionnalités potentiellement intrusives, comme l’alerte en cas de pleurs de bébé ou le suivi des mouvements basé sur le son, sont désactivées par défaut.

Le premier problème concret auquel vous serez confronté concerne la configuration des notifications : vous avez la possibilité d’activer l’ajout d’une vignette à votre alerte. Si vous optez pour les notifications avec vignettes, ces images d’aperçu sont transférées vers les serveurs AWS d’eufy. On ignore combien de temps ces aperçus sont conservés.

Par défaut, eufy recueille « le site d’où vous venez, le site vers lequel vous vous rendez lorsque vous quittez nos services, la fréquence à laquelle vous accédez à nos services, le fait que vous ouvriez ou non les e-mails ou que vous cliquiez sur les liens qu’ils contiennent, le fait que vous accédiez à nos services depuis plusieurs appareils, ainsi que d’autres comportements de navigation et actions que vous effectuez sur nos services ». Il s’agit là d’un champ d’application à la fois très large et d’une imprécision inquiétante.

Toute cette collecte de données est activée via l’option « Partager les statistiques de l’application », qui est activée par défaut. Il semble également étrange que l’option permettant de la désactiver soit cachée dans la section « Conditions générales » de l’application.

La détection des personnes par l’IA est activée par défaut, mais elle est désactivée pour les animaux de compagnie et tout autre mouvement. Vous pouvez également configurer la caméra pour qu’elle suive les objets en mouvement dans son champ de vision à l’aide de l’IA, mais cette fonction est également désactivée par défaut.

Le principal problème que nous rencontrons avec la S350 concerne la gestion du transfert vers le cloud. Concrètement, le transfert de vidéos est désactivé à moins que vous ne souscriviez à l’abonnement au service cloud d’eufy. Cependant, une fois cette fonction activée, les vidéos que vous envoyez vers le cloud ne sont pas protégées par un véritable chiffrement de bout en bout. À moins d’activer un paramètre distinct permettant le chiffrement E2E, rien ne garantit que vos vidéos ne puissent pas être visionnées par un tiers.

La reconnaissance faciale est désactivée par défaut, et Eufy précise que cette opération est entièrement effectuée sur l’appareil. Compte tenu des informations fournies dans l’historique ci-dessous, c’est à vous de décider dans quelle mesure vous jugez cette affirmation fiable.

La configuration nécessite de télécharger l’application eufy Security et de créer un compte auprès d’Anker, la société mère d’eufy. Cette étape est obligatoire ; impossible de configurer la caméra sans cela.

Lors de la création d’un compte, Anker recueille votre nom d’utilisateur, votre adresse e-mail et/ou votre numéro de téléphone, qui sont associés à vos appareils et utilisés pour l’ensemble des produits et applications de la marque Anker.

Quant à la caméra elle-même, elle collecte de nombreuses données relatives à l’appareil et au réseau. Au-delà de l’adresse IP standard, du type d’appareil et du système d’exploitation, la politique de confidentialité s’applique également à l’adresse MAC de votre appareil, au nom du réseau Wi-Fi (SSID), au numéro de série de l’appareil et (surtout) à la liste de toutes les applications installées sur votre téléphone.

Nous avons confirmé, grâce à une analyse du trafic, qu’Anker utilise des nœuds Amazon Web Services en Allemagne, en France et en Suède lorsque le trafic transite par le Royaume-Uni. Cependant, leur politique de confidentialité indique également que des nœuds AWS aux États-Unis pourraient être utilisés en fonction de votre juridiction.

Quant à savoir si les employés d’Anker peuvent accéder à vos enregistrements vidéo, la politique précise que l’accès aux informations personnelles est limité aux employés, sous-traitants et agents « qui ont besoin de ces informations pour les traiter », dans le respect des obligations de confidentialité. Il s’agit là d’une clause standard, nettement moins stricte que la mention « ne sont ni visionnées, ni partagées, ni utilisées à d’autres fins » qui figure sur la page dédiée à l’engagement de respect de la vie privée d’eufy.

Malgré les promesses d’un stockage exclusivement local et d’un chiffrement de bout en bout, de nombreux éléments indiquent qu’eufy doit revoir sa copie.

En novembre 2022, le chercheur spécialisé dans la sécurité Paul Moore a publié des preuves attestant que les caméras eufy transféraient des images miniatures et des données de reconnaissance faciale vers les serveurs AWS d’eufy, même lorsque le stockage dans le cloud était désactivé. Il a découvert qu’eufy transférait des images miniatures de visages et des informations sur les utilisateurs vers son service cloud alors que la fonctionnalité cloud n’était pas activée, et que ces images restaient accessibles même après la suppression des enregistrements depuis l’application eufy. Peu après, une enquête plus approfondie menée par The Verge a révélé que les flux vidéo en direct non cryptés des caméras eufy étaient accessibles à l’aide de logiciels de lecture vidéo tels que VLC, sans aucune authentification requise, depuis n’importe où dans le monde.

Le bureau du procureur général de New York a ouvert une enquête sur eufy à la suite des révélations de 2022 et a obtenu un règlement à l’amiable de 450 000 dollars, les conclusions de l’enquête ayant confirmé que les flux vidéo provenant des caméras eufy étaient transmis sans chiffrement de bout en bout et pouvaient être consultés sans authentification par toute personne disposant de l’URL correspondante. Le règlement imposait aux distributeurs d’eufy de mettre en place un chiffrement adéquat, de réaliser régulièrement des tests d’intrusion et de maintenir un programme de gestion des failles à l’avenir.

Eufy est une marque affiliée à Anker Innovations, une entreprise fondée en Chine où elle a toujours son siège social.

Eufy affirme ne pas vendre vos données personnelles. Toutefois, des données sont partagées avec des prestataires de services tiers, notamment AWS, ainsi qu’avec des plateformes partenaires telles qu’Amazon Alexa et Google Assistant lorsque ces intégrations sont activées. La politique de confidentialité ne précise pas exactement quelles données provenant des caméras sont transmises aux plateformes d’assistants vocaux lorsque ces intégrations sont actives.

Ce qui nous préoccupe davantage, ce sont les pratiques internes d’eufy en matière de partage des données. La politique de confidentialité confirme que les entités d’Anker basées en Chine reçoivent des données dans le cadre d’opérations mondiales portant sur le traitement des données et le service client. Cette situation est préoccupante car la loi chinoise sur le renseignement national oblige les entreprises chinoises à coopérer avec les agences de renseignement de l’État sur simple demande, ce qui signifie que les données détenues ou traitées par les entités chinoises d’Anker pourraient en principe être consultées par les autorités chinoises à votre insu et sans obligation de vous en informer.

Le modèle S350 prend en charge le stockage local via microSD et le stockage NAS via RTSP, ce qui signifie qu’il est réellement possible d’utiliser cette caméra sans aucune implication du cloud après la configuration initiale. En ce qui concerne le stockage NAS, eufy affirme explicitement ne pas avoir accès aux enregistrements stockés sur votre propre périphérique connecté au réseau.

Nous avons également analysé le comportement de la S350 lorsque le mode confidentialité est activé. L’appareil pivote vers la position qu’il juge « la plus confidentielle » et désactive la caméra et le microphone. Dans ce mode, la S350 continue de communiquer avec les serveurs AWS, mais ne semble pas transmettre de contenu vidéo ou audio.

Il est impossible d’échapper aux pratiques de partage de données d’eufy. Bien que la S350 propose un chiffrement de bout en bout pour les vidéos transférées sur le cloud, celui-ci n’est pas activé par défaut.

Les notifications avec aperçus miniatures nécessitent que les images soient brièvement chargées sur les serveurs cloud, même sans abonnement au cloud. C’est un point sur lequel eufy a fait preuve de transparence depuis la controverse de 2022. Si vous souhaitez éviter tout contact avec le cloud, vous devrez vous contenter de notifications textuelles.

Nous avons également remarqué un comportement intéressant au niveau de la caméra elle-même. La S350 envoie des requêtes DNS à Facebook. Nous ne savons pas exactement pourquoi, étant donné qu’il ne semble y avoir aucune intégration de Facebook dans l’application ou la caméra. Il se pourrait que la S350 utilise des bibliothèques de code développées par Facebook, mais il n’existe aucune information suggérant que ce soit le cas.

La société n’a pas souhaité s’exprimer à ce sujet.

Les pratiques d’Eufy en matière de partage de données sont suffisamment préoccupantes pour vous inciter à utiliser la S350 de la manière la plus « hors ligne » possible. Utilisez uniquement le stockage local, c’est-à-dire une carte microSD ou un NAS. Ne vous abonnez pas au service cloud d’Eufy. Réglez les notifications sur « texte uniquement » pour empêcher le téléchargement de vignettes.

N’activez pas l’option « Améliorer mon IA » dans l’application eufy. En échange de la mise à disposition volontaire de vos vidéos pour améliorer le modèle d’apprentissage de l’IA d’eufy, la société vous récompense par des participations à des tirages au sort et des points que vous pouvez dépenser au sein de son écosystème. Malgré les tentatives d’eufy de rendre ludique l’espace de la vidéosurveillance personnelle, nous ne pensons pas que la mise à disposition de vos enregistrements vidéo en vaille la peine.

Veillez à isoler la S350 sur un réseau distinct de celui de vos appareils et ordinateurs principaux. Bloquer entièrement l’accès Internet sortant de la caméra au niveau du routeur ne la désactivera pas complètement, mais cela l’empêchera de communiquer avec les serveurs AWS d’eufy, ce qui vous permettra de l’utiliser sans craindre que des moments de votre vie privée ne soient transférés vers le cloud.

Sur le plan technique, la caméra eufy S350 est excellente, mais les antécédents du fabricant en font un produit difficile à recommander. Le matériel est véritablement robuste, les options de stockage local ont été mises en œuvre de manière efficace et bien pensée, et le mode de confidentialité physique est un choix de conception judicieux.

Eufy a été prise en flagrant délit de transmission de données qu’elle affirmait ne pas transmettre, ainsi que de diffusion de vidéos sans le cryptage qu’elle prétendait assurer ; et la première réaction du fabricant a été de réécrire discrètement ses engagements en matière de confidentialité plutôt que de jouer cartes sur table. Un accord à l’amiable de 450 000 dollars conclu avec le procureur général de New York ne suffit pas à rétablir la confiance envers cette marque.

Si vous achetez un de ces appareils, utilisez-le en local, ne le connectez pas à votre réseau principal, et vérifiez chaque affirmation d’eufy concernant la confidentialité plutôt que de la prendre pour argent comptant. La caméra peut être configurée de manière relativement confidentielle dans la pratique, mais vous devrez vous en charger vous-même, car la promesse de l’entreprise ne suffit pas.