Automobile : les pirates pouvaient ouvrir les portes à distance

Selon les informations révélées par le média américain TechCrunch, cette vulnérabilité concernait un système en ligne utilisé par les réseaux de concessionnaires, offrant un accès direct à des données clients sensibles et à des fonctions à distance sur les véhicules.

Sécurité informatique : une faille majeure dans un portail professionnel

Le portail en question, réservé aux professionnels agréés, centralisait des outils de gestion des stocks, d’entretien et de services connectés. Mais en contournant les mécanismes d’authentification, il était possible, selon le chercheur Eaton Zveare cité par TechCrunch, de créer un compte doté de droits administratifs au niveau national. Une telle compromission ouvrait la porte à la consultation d’informations personnelles (coordonnées, données financières, historiques d’entretien) et au contrôle à distance de fonctions comme le déverrouillage, la localisation GPS en temps réel ou l’activation de certains systèmes embarqués.

Le chercheur a précisé à TechCrunch qu’il ne dévoilerait pas le nom de l’entreprise concernée afin d’éviter tout risque d’exploitation criminelle, ajoutant seulement qu’elle appartient à un groupe disposant de plusieurs marques bien connues sur le marché mondial. L’alerte a été transmise au constructeur, qui a corrigé la faille avant sa divulgation publique.

Industrie automobile : la cybersécurité devient un enjeu majeur

Cette affaire s’ajoute à une liste croissante d’incidents similaires. En janvier 2024, Wired avait rapporté que Subaru avait corrigé une vulnérabilité permettant à un attaquant d’accéder à l’historique détaillé des trajets de millions de véhicules. Quelques mois plus tard, The Times révélait qu’un bug dans le système de Kia autorisait, à partir d’une simple plaque d’immatriculation, la prise de contrôle à distance de plusieurs fonctions.

Ces cas illustrent un risque systémique : la numérisation des véhicules et la multiplication des services connectés augmentent considérablement la surface d’attaque pour les cybercriminels. Les portails internes, conçus pour faciliter la gestion des réseaux commerciaux, deviennent des cibles de choix, car ils permettent d’agir indirectement sur le véhicule lui-même.

Piratage : un risque pour l’industrie automobile

Pour un constructeur, la découverte d’une faille de cette ampleur n’est pas seulement un incident technique. Les implications économiques peuvent être lourdes : gestion de crise, coûts de correction, pertes potentielles sur le marché boursier et impact sur la réputation. Dans un secteur où la confiance du consommateur est cruciale, un incident de cybersécurité peut avoir des répercussions durables sur les ventes.

Sur le plan réglementaire, la norme internationale UNECE R155, entrée en vigueur pour les nouveaux modèles depuis 2022 dans plusieurs marchés, impose la mise en place de systèmes de gestion de la cybersécurité tout au long du cycle de vie du véhicule. Mais la mise en pratique de ces standards varie d’un constructeur à l’autre, et les systèmes périphériques comme les portails professionnels semblent parfois moins surveillés que les systèmes embarqués.

Au-delà du cas précis révélé par TechCrunch, cette affaire rappelle que dans l’ère des voitures intelligentes, la vulnérabilité la plus dangereuse n’est plus nécessairement mécanique. Les constructeurs doivent renforcer la protection de leurs infrastructures numériques avec la même rigueur que celle appliquée aux composants physiques. Car une serrure électronique mal protégée peut désormais être forcée depuis l’autre bout du monde, avec des conséquences potentiellement dramatiques pour les utilisateurs et pour l’image de marque.