Prendre le contrôle d’une voiture à distance, c’est possible
Une faille critique dans le portail d’un constructeur automobile
Un chercheur en cybersécurité a mis au jour de sérieuses vulnérabilités dans le portail en ligne réservé aux concessionnaires d’un grand constructeur automobile.
Ces failles permettaient non seulement d’accéder à des données clients sensibles (informations personnelles et financières), mais aussi de contrôler à distance certaines fonctions clés des véhicules de la marque.
Selon Eaton Zveare, spécialiste en sécurité, un pirate pouvait exploiter ces failles pour créer un compte administrateur sur la plateforme, sans autorisation. Ce portail interne donne accès à la gestion du stock, au suivi des livraisons, aux documents techniques et même à la localisation en temps réel des véhicules de location.
Du vol de données au contrôle d’une voiture
Le plus inquiétant est que l’accès au portail offrait la possibilité d’activer à distance certaines fonctions connectées d’un véhicule, comme :
- Le verrouillage ou déverrouillage des portes
- Le démarrage du moteur
- La climatisation ou le chauffage
- La géolocalisation précise
En reliant ensuite le véhicule ciblé à l’application mobile officielle de la marque, un attaquant pouvait prendre le contrôle à distance du système.
Zveare précise qu’il suffit de connaître le numéro d’identification du véhicule (VIN), visible sur le pare-brise, pour lancer ce type d’attaque.
Des risques de vol et d’intrusion
Même si la mise en route complète du véhicule nécessite la clé physique, cette faille aurait pu permettre à des voleurs de pénétrer dans l’habitacle et de commettre des vols.
L’attaque est d’autant plus préoccupante qu’elle ne nécessite que quelques étapes simples à partir d’un VIN accessible publiquement.
Un problème de sécurité récurrent dans l’automobile
Le chercheur souligne que la vulnérabilité provenait d’un système d’authentification unique (Single Sign-On) permettant d’accéder à plusieurs portails avec les mêmes identifiants.
En février dernier, le constructeur a été informé et a corrigé la faille, rendant l’exploitation impossible.
Des incidents similaires avaient déjà été découverts par le passé sur les portails de marques comme Kia, Hyundai, Honda, Toyota ou Infiniti, permettant dans certains cas de suivre et pirater des véhicules produits après 2013.
Un rappel sur la cybersécurité des véhicules connectés
Cette affaire illustre à quel point les voitures connectées sont exposées à des menaces numériques. Les constructeurs doivent renforcer la protection de leurs plateformes internes pour éviter que des vulnérabilités critiques ne se transforment en risques réels pour la sécurité des automobilistes.
