Bonjour,
La personne qui obtient votre code wifi possède également le code administrateur de la livebox. (Superbe idée que de faire des premiers caractère le mot de passe par défaut !)
Théoriquement, cette personne peut aller jusqu'au contrôle total de l'installation. En pratique ça ne sert à rien et c'est un peu compliqué car la majorité du trafic est chiffré et certifié.
Sans ajouter d'éléments dans votre réseau, la personne qui fait ça a des capacités d'interception assez limitées, le pouvoir de nuisance est faible en pratique, elle doit notamment être proche pour intercepter le trafic wifi et le décrypter. Bien qu'en théorie elle puisse aller quand même assez loin je doute qu'on aie très envie de vous cibler vous en particulier.
Donc à mon avis, à part perturber vos services, squatter votre bande passante et interagir avec/contrôler vos appareils peu sécurisé, elle ne devrait pas s'intéresser à grand chose d'autre, une interception est improbable. (même si ça reste théoriquement possible).
Quand vous allez sur des sites, quand vous utilisez des applis, aujourd'hui l'échange se fait majoritairement en crypté + certifié.
Vous avez préinstallés d'usine (et via mise à jour) des certificats, qui servent à authentifier à qui vous parlez via internet.
Autrement dit, le cadenas dans le navigateur donne l'information suivante : "à ma connaissance, ce site est celui qu'il prétend être, et je parle avec lui de manière indéchiffrable par un quelconque attaquant ou même le fournisseur d'accès". Dans les apps, il me semble qu'il n'y a quasiment plus d'applications grand public qui soient non chiffrées, et ils ont des protections spécifiques contre les manipulations de certificats (certificate pinning, ip en dur plutôt que dns entre autres).
Autrement dit, sous les réserves suivantes :
- pas de virus sur vos machines
- pas de sites non sécurisés (toujours le cadenas)
- pas un pirate qui a installé des certificats spéciaux et qui intercepte/décrypte tout votre trafic (le cas improbable dont je parlais plus haut, c'est énormément de boulot et est forcément quelqu'un qui vous en veut ou vis avec vous)
Peu probable de vous faire intercepter vos accès, et donc in fine de prendre le contrôle de vos sites "sérieux".
Pour les données personnelles, l'attaquant peut savoir les sites que vous consultez, donc tout ce qui est avant le /.
2 exemples non exhaustifs : en gras ce que l'attaquant peut voir
https://communaute.orange.fr/t5/forums/replypage/board-id/connexion/message-id/12345
http://communaute.orange.fr/t5/forums/replypage/board-id/connexion/message-id/12345 + cookies et en têtes http en général (comme pas de s après http, pas de cadenas, donc tout passe)
Donc au passage aussi, éviter autant que possible d'accéder aux sites sans https devant. Même s'ils redirigent en crypté pour la plupart, la première interaction est interceptable.
Réponse courte au cas où : quelques données personnelles peuvent être collectées, l'accès aux sites sécurisés est improbable.
Désolé pour le pavé, j'ai essayé de rentre ça le plus "juste possible" (ça reste approximatif) en restant accessible.
Cdt,
