Les véhicules connectés sont confrontés à un tout nouveau monde de menaces en matière de sécurité.
Autrefois, la plus grande menace pour votre voiture était un cintre, associé à une moralité douteuse. Aujourd’hui, les voleurs n’ont presque plus besoin de quitter leur canapé.
Les véhicules modernes sont de véritables ordinateurs sur roues, communiquant avec votre smartphone, d’autres voitures, des satellites et des serveurs cloud pour vous guider , vous divertir et même conduire à votre place . C’est extrêmement pratique, jusqu’à ce qu’une personne mal intentionnée parvienne à s’introduire dans les communications numériques de votre véhicule.
Une nouvelle étude menée par des chercheurs des universités de Göteborg et de Chalmers (Suède) révèle que les principaux risques de cybersécurité pesant sur les véhicules modernes se situent désormais moins au niveau de leurs systèmes internes et de plus en plus en dehors de ces derniers. Certaines de ces failles sont d’une simplicité déconcertante.
Les chercheurs ont examiné 413 vulnérabilités logicielles affectant les véhicules connectés entre janvier 2022 et septembre 2024, comparant leurs résultats avec les problèmes de sécurité documentés au cours de la décennie précédente.
Ils ont constaté un changement frappant dans l’endroit où les problèmes apparaissent.
Il y a quelques décennies, les voleurs de voitures devaient avoir un accès physique au véhicule pour le voler. Depuis, les modes opératoires ont évolué et les attaques se font désormais à distance. Les applications externes – sites web, applications mobiles et services cloud – représentent aujourd’hui plus d’un tiers des vulnérabilités identifiées, soit près de trois fois plus que lors des précédentes études.
Les conséquences sont désastreuses. Les failles de sécurité dans les logiciels peuvent entraîner des attaques qui compromettent totalement la sécurité du véhicule, ce qui signifie que la sécurité ne se limite plus à la protection de votre voiture ; il s’agit de votre propre survie.
En 2015 , des chercheurs en sécurité ont démontré de manière notoire comment ils pouvaient interférer à distance avec la direction, les freins et l’accélérateur d’une Jeep Cherokee après y avoir accédé via son système d’infodivertissement.
Plus d’une décennie après, les faiblesses des systèmes de divertissement et de communication restent une source de préoccupation.
Par exemple, une vulnérabilité documentée dans un système d’infodivertissement Škoda pourrait permettre à un attaquant connecté au Wi-Fi du véhicule de faire planter le système dans certaines conditions.
Pas tout à fait un détournement d’avion à la hollywoodienne, mais ce n’est certainement pas une fonctionnalité que l’on s’attend à trouver dans une brochure.
Si certains réseaux criminels plus malveillants peuvent prendre en otage votre direction ou vos freins , une cible bien plus courante est votre vie privée : votre adresse, vos déplacements, vos habitudes quotidiennes, et même potentiellement l’endroit où vous vous garez lorsque vous êtes censé être au travail.
Les risques ne sont pas entièrement hypothétiques. En décembre 2024 , des chercheurs ont révélé que les données de géolocalisation d’environ 800 000 véhicules des marques du groupe Volkswagen étaient restées accessibles en ligne.
Des attaquants ont exploité des identifiants Amazon Web Services non sécurisés utilisés par un fournisseur tiers pour collecter des coordonnées GPS précises et des données personnelles, permettant potentiellement à quelqu’un de reconstituer les déplacements d’un conducteur.
Heureusement, le problème a été résolu avant toute exploitation malveillante connue. Cependant, notre vie privée ne représente qu’une partie du problème. L’étude a également révélé une évolution inquiétante dans la gravité des vulnérabilités signalées. Près de 45 % d’entre elles ont été classées comme hautement critiques, et 16 % comme critiques. À titre de comparaison, une étude antérieure avait constaté que seulement 5 % des vulnérabilités étaient critiques.
Cela ne signifie pas pour autant que des millions de voitures sont désormais prises au piège par des pirates informatiques. Une vulnérabilité représente une opportunité potentielle, et non la preuve qu’elle a été exploitée avec succès.
Les chercheurs ont identifié des problèmes latents dans les bibliothèques logicielles tierces utilisées par les développeurs automobiles, démontrant ainsi comment des failles de sécurité peuvent s’introduire dans les véhicules bien avant leur sortie d’usine. Leurs conclusions mettent en lumière une leçon simple pour les constructeurs : la sécurité doit être intégrée à chaque étape du développement, et non ajoutée a posteriori.
Isoler les systèmes de divertissement des commandes critiques pour la sécurité permettrait également d’éviter qu’une liste de lecture compromise ne devienne un véhicule compromis.
Pour les conducteurs, les conseils sont bien connus : installez les mises à jour logicielles, utilisez des mots de passe robustes et réfléchissez bien aux informations personnelles partagées avec les services connectés.
Après tout, votre voiture sait déjà où vous êtes allé. Inutile d’en informer tout le monde.
https://www.gu.se/en/news/your-cars-weakest-spot-may-not-be-in-the-car
https://link.springer.com/article/10.1007/s11219-026-09787-y
