Piratage de voitures : moins de failles, mais des cibles dans le cloud

Des chercheurs de l'université de Göteborg et de l'université Chalmers ont recensé 413 failles de sécurité logicielles dans les voitures pour la période 2022-2024. Le chiffre paraît élevé, mais une analyse plus ancienne en comptait déjà 363 pour la seule année 2019. Le nombre de failles connues recule donc chaque année. Les auteurs refusent pourtant d'y voir une raison de se rassurer, car la nature des vulnérabilités a changé.

Des points d'entrée hors du véhicule

« Il y a dix ans, la plupart des failles étaient découvertes dans les systèmes embarqués », explique Srijita Basu, première autrice de l'étude. « La part des vulnérabilités trouvées dans les applications, les sites web et les services cloud a presque triplé. » Ces systèmes peuvent livrer de nombreuses données personnelles : domicile, lieu de travail, loisirs, école des enfants. C'est ce qui s'est produit chez Volkswagen en 2024.

L'infodivertissement devrait être strictement isolé des fonctions critiques comme l'ABS, l'ESP ou les aides à la conduite. Ce n'est pas toujours le cas : en 2015, des chercheurs avaient pris à distance le contrôle des freins, de l'accélérateur et du verrouillage des portes d'une Jeep Cherokee via son système multimédia. Selon l'étude, la filière n'en a pas tiré assez de leçons : ces systèmes, jugés peu critiques, servent souvent de passerelle vers des réseaux plus sensibles, et les failles proviennent surtout de logiciels tiers.

Srijita Basu se dit surprise par le caractère élémentaire de certaines faiblesses, comme des mots de passe jamais modifiés depuis l'installation. Le produit le plus vulnérable est l'outil open source Grafana ; les attaques les plus courantes sont l'injection SQL et le cross-site scripting.

Un enjeu croissant

Plus les voitures sont connectées, par exemple pour le streaming vidéo ou la communication avec les bornes de recharge, plus la surface d'attaque s'élargit. Et plus les conducteurs s'en remettent aux aides à la conduite, plus les conséquences d'un piratage seraient graves. Un meilleur chiffrement ne suffirait pas : le problème de fond tient à l'absence de contrôles d'autorisation. L'utilisateur s'identifie, mais le système ne vérifie pas toujours s'il a le droit d'accéder au véhicule visé et d'activer la fonction demandée.

La chercheuse conseille aux constructeurs de s'inspirer du monde du web et de l'informatique, où beaucoup de ces failles sont connues de longue date. Les conducteurs devraient adopter des mots de passe robustes et installer régulièrement les mises à jour.