Une faille dans un portail Internet permet d’ouvrir et de contrôler des millions de voitures

Pirater un TeslaTesla ou toute autre voiture connectée n’est pas une nouveauté. Mais de manière générale, le piratage concerne surtout les systèmes connectés à Internet et cela n’a pas vraiment de conséquences sur la prise totale de contrôle du véhicule pendant la conduite. Bien que certaines tentatives aient été couronnées de succès, il a fallu beaucoup de temps et de rétro-ingénierie pour y parvenir. Et puis, les constructeurs dont les défauts ont été découverts ont depuis corrigé le tir… ou presque.

Futura a expliqué comment des pirates informatiques ont pu pirater à distance des véhicules des marques Ferrari, BMW, Rolls Royce, Mercedes-Benz ou Porsche grâce à des portails web dédiés à la relation client. Aujourd’hui, c’est encore grâce à une brèche dans un portail du constructeur Kia que des chercheurs en cybersécurité ont réussi à traquer des millions de véhicules de la marque. Ils ont également pu activer à distance le déverrouillage de portesportes et même démarrer les moteurs. Plus précisément, grâce à la vulnérabilité, les fonctionnalités de contrôle à distance disponibles sur leapplicationapplication Kia pour le smartphone du propriétaire du véhicule, ont été réattribués aux chercheurs.

Avec son application « maison », Sam Curry montre comment il peut contrôler à distance pratiquement tous les véhicules de la marque Kia commercialisés depuis 2013. © Sam Curry

Un air de déjà vu

C’est à partir de la seule plaque d’immatriculation d’une Kia que, grâce à leur propre application personnalisée, les chercheurs ont pu réaliser cette télécommande. Ils pourraient ainsi localiser le véhicule, le déverrouiller, démarrer le moteur ou encore lui faire klaxonner. Les chercheurs ont pris soin d’alerter Kia sur cette faille en juin et depuis, la marque semble l’avoir comblée. Mais ce n’est pas la première fois que cette manipulation fonctionne. Comme le rapportait Futura, cette vulnérabilité était déjà présente début 2023 chez de nombreuses marques. L’affaire a été révélée par Sam Curry, un expert en sécurité et c’est lui qui vient de confirmer que cette faille persiste autour des portails web des constructeurs.

Ainsi, comme toujours, il n’est pas possible d’accéder aux systèmes de conduite critiques, comme par exemple l’actionnement des freins ou de la direction. A l’inverse, ce type de procédé pourrait être utilisé pour voler ou immobiliser des voitures ciblées, voire faire chanter le propriétaire d’une voiture. En effet, la faille du portail web permettait également d’avoir les informations personnelles des clients, leur adresse email, leur numéro de téléphone, leur adresse et même leur historique de voyage. En fin de compte, ceci récidiverécidive montre une fois de plus que la cybersécurité reste le maillon faible du secteur automobileautomobile.