Depuis que les véhicules connectés à Internet existent, les pirates informatiques tentent de s'y introduire. Plusieurs y sont parvenus. Et leur nombre ne cesse d'augmenter.
En 2010, des chercheurs de l'Université de Californie à San Diego et de l'Université de Washington ont démontré comment des pirates informatiques pouvaient accéder à une Chevrolet Impala de 2009 via son système de sécurité embarqué OnStar. Une fois à l'intérieur, ils ont pu contrôler les freins et écouter les conversations à l'intérieur de la voiture.
Cinq ans plus tard, les chercheurs en sécurité Charlie Miller et Chris Valasek ont pris le contrôle à distance d'une Jeep Cherokee 2014 , avec Andy Greenberg, journaliste chez Wired , au volant. En exploitant une faille dans la connexion mobile de la voiture, ils ont réussi à couper le moteur, à désactiver les freins et à prendre le contrôle de la direction à 10 miles de là. (Chrysler a par la suite lancé une campagne de rappel concernant 1,4 millions de véhicules présentant ce défaut.)
Et à la fin de l'année 2021, David Colombo , un chercheur âgé de 19 ans, a piraté plus d'une vingtaine de Tesla dans 13 pays depuis son domicile à Munich, en Allemagne. Il a pu contrôler les serrures, l'éclairage et la température, mais aussi connaître l'emplacement d'une voiture et l'adresse e-mail de son propriétaire.
Le piratage de la Jeep a constitué un véritable signal d'alarme pour les constructeurs automobiles et les équipementiers, qui ont alors commencé à accorder une importance bien plus grande à la cybersécurité. « En ce qui concerne les systèmes critiques embarqués dans les véhicules, les choses ont beaucoup évolué depuis le cours 2015 », explique Jennifer Tisdale, PDG de GRIMM, une entreprise qui aide les équipementiers automobiles à identifier et à atténuer les failles de sécurité. « Y a-t-il encore du chemin à parcourir ? » « Absolument. »
Les grandes questions que se pose M. Tisdale concernent la sécurité à long terme : que se passe-t-il une fois qu’un véhicule a quitté le parc automobile et circule librement pendant des années ? Lorsque des failles de sécurité sont identifiées, les constructeurs automobiles publieront-ils rapidement des correctifs logiciels ? Et les particuliers et les entreprises parviendront-ils à mieux maintenir leurs voitures à jour qu'ils ne l'ont fait avec leurs ordinateurs
ou leurs téléphones ?
« Nous n'avons pas encore de réponse à cette question », prévient-elle.
La menace des piratages informatiques dans le secteur automobile concerne tout le monde, y compris et surtout les exploitants de véhicules utilitaires, dont les flottes pourraient être prises en otage, ce qui leur coûterait des millions en temps d'arrêt et en rançons versées à . Ou, pire encore, un adversaire pourrait s'emparer d'un véhicule de l'entreprise et en faire une arme, mettant ainsi en danger la réputation — et la vie — de personnes.
Voici ce que les chefs d'entreprise doivent savoir concernant le risque croissant de cyberattaques dans le secteur automobile.
Les « black hats » passent à l'attaque
Historiquement, ce sont les chercheurs en sécurité et les « hackers au chapeau blanc », qui travaillent aux côtés des acteurs du secteur, qui ont mis au jour la plupart des failles de cybersécurité dans le secteur automobile. Mais cela commence à changer.
«Les pirates informatiques s’intéressent aux domaines où il y a de l’argent à gagner, qu’il s’agisse d’attaques par ransomware visant des flottes ou du vol de données sensibles. »
En 2021, des acteurs malveillants ont perpétré près de 57 % des 240 attaques connues visant le secteur automobile, selon le rapport annuel « Global Automotive Cybersecurity Report » d’Upstream Security, disponible à l’adresse. Ce chiffre est en hausse par rapport à un peu moins de 50 % auparavant, pour atteindre 2020.
Selon ce rapport, les incidents survenus en 2021 présentaient les caractéristiques suivantes :
- 85% involved remote access to a vehicle.
- , soit 40 %, concernaient des fuites de données sur des serveurs communiquant avec des véhicules connectés.
- 24 % ont pris le contrôle à distance de systèmes automobiles importants, souvent via des applications mobiles. (Le pirate informatique de Tesla, Colombo, a réussi à accéder au système via TeslaMate, une application tierce.)
« Les pirates informatiques s’intéressent aux secteurs où il y a de l’argent à gagner, qu’il s’agisse d’ d’attaques par ransomware visant des flottes automobiles ou du vol de données sensibles, telles que les informations de facturation des clients provenant de bornes de recharge pour véhicules électriques piratées », explique Guy Molho, vice-président chargé des produits chez Upstream, dont la technologie de sécurité est installée dans plus de 10 millions de véhicules à travers le monde. « La règle générale est simple : ils s'efforceront d'obtenir la rémunération la plus élevée possible. »
Les attaques par ransomware visant les flottes constituent la principale préoccupation des chercheurs de GRIMM, note M. Tisdale. De nombreuses attaques ont déjà été perpétrées contre des entreprises de transport routier au cours des dernières années, même si la quasi-totalité d'entre elles visaient les systèmes de gestion de flotte en back-office. Bien qu'aucune attaque directe contre des véhicules n'ait été signalée, celles-ci constituent une préoccupation majeure pour le secteur américain du transport routier, dont le chiffre d'affaires s'élève à près de 800 milliards de dollars.
Une surface d'attaque informatique considérable
Les véhicules connectés à Internet et autonomes sont particulièrement vulnérables aux attaques en raison de la complexité considérable de leurs systèmes logiciels.
Les voitures modernes comptent entre 40 et 150 unités de commande électroniques (ECU), des puces informatiques qui contrôlent tout, de la température à l'intérieur de l'habitacle au freinage automatique lorsque ce poids lourd de 18 roues qui vous précède s'arrête brusquement en crissant des pneus. Le logiciel qui équipe ces calculateurs embarqués (ECU) comprend
plus de 100 millions de lignes de code — soit plusieurs fois plus que le code utilisé dans le F-35 Joint Strike Fighter de l’armée de l’air américaine, par exemple.
Les véhicules constituent également une cible riche en données. Les voitures connectées et autonomes génèrent d'énormes quantités de données. (Les estimations varient entre 300 gigaoctets et 32 téraoctets par jour.) Il s'agit d'une véritable mine d'informations concernant la localisation des conducteurs, leurs habitudes de conduite, les détails de facturation et les performances des véhicules, que des pirates pourraient exploiter pour faire chanter ou mettre dans l'embarras des entreprises et des personnalités de premier plan.
« Les véhicules les plus exposés aux attaques sont ceux qui disposent d'interfaces externes telles que les télécommandes, les systèmes télématiques, les systèmes de divertissement et les applications tierces », souligne Slava Bronfman, PDG et cofondateur de Cybellum. Sa plateforme permet aux équipementiers automobiles de créer des jumeaux numériques — c'est-à-dire des simulations virtuelles de véhicules et de leurs composants — qui peuvent faire l'objet d'analyses visant à détecter d'éventuelles vulnérabilités, depuis leur conception initiale et tout au long du cycle de vie du véhicule.
« Les cybercriminels cherchent à s'attaquer aux véhicules les moins bien protégés », ajoute M. Tisdale, de GRIMM. En 2015, il s'agissait de la voiture ou du camion lui-même. Aujourd’hui, il s’agit de l’ensemble de l’environnement dans lequel évoluent ces véhicules, qui comprend les serveurs, les satellites et les antennes-relais avec lesquels ils communiquent, ainsi que des infrastructures telles que les feux de signalisation intelligents, les capteurs intégrés à la chaussée et les bornes de recharge.
Il est temps de réglementer
Le secteur informatique a compris assez tôt que le partage d'informations était essentiel pour identifier et atténuer les menaces de sécurité. C'est pourquoi l'équipe américaine d'intervention en cas d'urgence informatique (US-CERT) a été créée, et pourquoi il existe des bases de données telles que la liste des vulnérabilités et expositions courantes ( , CVE) de Mitre : .
«Des milliards ont été investis dans ces technologies, et il n’y a pas de retour en arrière possible. »Jennifer Tisdale, PDG de GRIMM
Les constructeurs automobiles et leurs équipementiers ont toujours été réticents à partager des informations avec leurs concurrents. La situation a commencé à évoluer en 2015 , lorsque le secteur a créé le Centre de partage et d'analyse des informations automobiles (Auto-ISAC). Malgré tout, précise M. Tisdale, les failles de sécurité restent un sujet sensible pour de nombreux acteurs du secteur.
Mais les nouvelles réglementations de la Commission économique des Nations Unies pour l'Europe (CEE-ONU) obligent les constructeurs automobiles à renforcer leurs mesures de cybersécurité. « Ces réglementations définissent les exigences en matière de cybersécurité , de performances et d’audit pour tous les nouveaux types de véhicules commercialisés en 2022 et pour toutes les nouvelles immatriculations à compter de 2024 », précise Niranjan Manohar, directeur du conseil en matière de véhicules connectés et d’Internet des objets (IoT) dans le secteur automobile au sein du cabinet de conseil Frost & Sullivan. Bien que les États-Unis ne figurent pas parmi les 54 pays membres de la CEE-ONU, les constructeurs automobiles américains devront se conformer à ses règles s'ils souhaitent vendre des voitures dans les pays qui en font partie.
« L'adoption de ces réglementations constitue une avancée majeure », déclare M. Bronfman, « mais il reste encore du travail à accomplir ». « Bien que les équipementiers (OEM) et les fournisseurs aient commencé à travailler sur la mise en conformité, celle-ci est encore souvent considérée comme une obligation à respecter plutôt que comme un moyen de rendre les véhicules à l'épreuve des cyberattaques », ajoute-t-il.
« Cela ne sera pas facile », prévient Manohar. « Le manque d’expertise technique et les coûts initiaux considérables liés à la mise en œuvre de nouveaux processus constitueront un défi pour la mise en œuvre en interne par les équipementiers », déclare-t-il. En conséquence, les grands constructeurs automobiles et équipementiers nouent des partenariats avec des entreprises spécialisées dans la sécurité telles que GRIMM, Upstream et Cybellum, entre autres.
Faut-il être bête pour être intelligent ?
Frost & Sullivan prévoit qu' , 86 % des voitures qui sortiront des chaînes de montage en 2025 seront connectées à Internet. Et la quasi-totalité des voitures vendues ces dernières années sont équipées de technologies d'aide à la conduite automatisées , telles que le régulateur de vitesse adaptatif ou la direction mains libres, qui pourraient faire l'objet d'une attaque.
Si vous n'utilisez pas encore de voiture ou de camion connecté ou semi-autonome, cela pourrait bien être le cas très bientôt. Mais les possibilités dont vous disposez pour les sécuriser sont très limitées : vous ne pouvez pas télécharger votre propre logiciel pour protéger votre iPhone lorsque vous êtes en déplacement, et vous ne pourrez pas vous déconnecter.
« Les constructeurs automobiles continueront à proposer des mises à jour pour leurs logiciels de sécurité et autres logiciels internes », déclare Manohar. Mais quel sera le niveau de sécurité de ces mises à jour ? Les entreprises pourront-elles effectuer une mise à jour complète du micrologiciel « » par liaison radio ( ) ? Les consommateurs ou les employés d'entreprise se laisseront-ils piéger au point d'accepter des mises à jour malveillantes, comme c'est souvent le cas avec leurs ordinateurs ? Ce sont là des problèmes que les constructeurs automobiles et leurs équipementiers doivent encore résoudre, précise-t-il.
Les entreprises qui possèdent ou exploitent des flottes connectées devront mettre en œuvre des politiques identiques, voire plus strictes, en matière de cyberhygiène , de sécurité des données , de gestion des correctifs et de gestion des vulnérabilités , comme elles le font pour leurs autres actifs numériques — et surveiller de près les nouvelles menaces à mesure qu’elles apparaissent.
M. Molho, d'Upstream, estime qu'à l'avenir, les consommateurs et les entreprises fonderont en partie leurs choix d'achat de voitures et de camions sur les dispositifs de sécurité, ce qui obligera les constructeurs à s'adapter. M. Bronfman recommande à l'industrie automobile d'adopter un système de notation en matière de cybersécurité, similaire aux cotes de sécurité « » de la National Highway Traffic Safety Administration (NHTSA).
D'ici là, les entreprises et les consommateurs doivent faire tout ce qui est en leur pouvoir pour se protéger.
« Dans le milieu des hackers, nous avons un dicton : “C’est bête d’être intelligent” », explique Tisdale. « Nous disposons désormais de voitures connectées, de villes intelligentes et de systèmes de transport intelligents. » Des milliards ont été investis dans ces technologies, et il n'est plus question de faire marche arrière. La question qui se pose donc est la suivante : « Comment pouvons-nous œuvrer ensemble pour garantir la sécurité ? »
