Tant qu’il y a eu des véhicules connectés à Internet, les pirates informatiques essaient de les percer. Plusieurs ont réussi. Et leurs chiffres augmentent.
En 2010, des chercheurs de l’UC San Diego et de l’Université de Washington ont montré comment les pirates informatiques pouvaient accéder à une Chevy Impala 2009 via son système de sécurité embarqué OnStar. Une fois à l’intérieur, ils ont pu contrôler les freins et écouter les conversations au sein de la voiture.
Cinq ans plus tard, les chercheurs en sécurité Charlie Miller et Chris Valasek ont commandé à distance une 2014 Jeep Cherokee avec le journaliste Wired Andy Greenberg au volant. By exploiting a flaw in the car’s cellular connection, they were able to kill the engine, cut the brakes, and hijack the steering from 10 miles away. (Chrysler a ensuite émis un rappel pour 1,4 millions de véhicules contenant le défaut.)
Fin 2021, le chercheur David Colombo, âgé de 19 ans, a piraté plus de deux douzaines de Teslas dans 13 pays depuis son domicile à Munich, en Allemagne. Il a pu contrôler les verrous, les lumières et la température, ainsi que l’emplacement d’une voiture et l’adresse e-mail du propriétaire.
Le piratage de Jeep a été un véritable réveil pour les constructeurs automobiles et les fournisseurs automobiles, qui ont commencé à prendre la cybersécurité beaucoup plus au sérieux. « Lorsqu’il s’agit de systèmes critiques au sein du véhicule, beaucoup ont progressé depuis 2015 », déclare Jennifer Tisdale, PDG de GRIMM, qui aide les fournisseurs automobiles à identifier et à atténuer les vulnérabilités de sécurité. « Y a-t-il encore des moyens d’y aller ? Absolument. »
Les grandes questions de Tisdale portent sur la sécurité à long terme : que se passe-t-il après qu’un véhicule a quitté le terrain et est dans la nature pendant des années ? Lorsque des vulnérabilités sont identifiées, les constructeurs automobiles émettront-ils rapidement des correctifs logiciels ? Et les particuliers et les entreprises feront-ils un meilleur travail de mise à jour de leurs voitures qu’avec leurs ordinateurs
ou téléphones ?
« Nous n’avons pas encore de réponse à cela », avertit-elle.
La menace de piratage automobile a un impact sur tout le monde, y compris et en particulier sur les opérateurs de véhicules commerciaux, dont les flottes pourraient être prises en otage, ce qui leur coûte des millions en temps d’arrêt et en paiements de rançon. Ou, pire encore, un adversaire pourrait commander un véhicule de société et le transformer en une arme, mettant en danger les réputations et les vies dans le processus.
Voici ce que les chefs d’entreprise doivent savoir sur le risque croissant de cyberattaques automobiles.
Chapeaux noirs sur l’attaque
Historiquement, les chercheurs en sécurité et les pirates informatiques dits « chapeau blanc » travaillant du côté de l’industrie ont découvert la plupart des failles de cybersécurité automobile. Mais cela commence à changer.
« Les pirates informatiques examinent les domaines où il y a de l’argent à gagner, qu’il s’agisse d’attaques de rançongiciel sur des flottes ou de vol de données sensibles. »
En 2021, les acteurs malveillants ont réalisé près de 57 % des 240 attaques automobiles connues, selon le rapport annuel de cybersécurité automobile mondiale d’Upstream Security. C’est en hausse par rapport à un peu moins de 50 % avant 2020.
Selon le rapport, les incidents en 2021 présentaient les caractéristiques suivantes :
- 85 % impliquaient l’accès à distance à un véhicule.
- 40 % étaient des violations de données des serveurs qui communiquent avec les véhicules connectés.
- 24 % ont pris le contrôle à distance des systèmes automobiles importants, souvent via des applications mobiles. (Le pirate informatique de Tesla Colombo a obtenu l’accès via TeslaMate, une application tierce.)
« Les pirates informatiques examinent les domaines où il y a de l’argent à gagner, qu’il s’agisse d’ attaques de rançongiciel sur des flottes ou de voler des données sensibles, telles que les détails de facturation des clients auprès de stations de recharge de véhicules électriques piratées », déclare Guy Molho, vice-président des produits chez Upstream, dont la technologie de sécurité est installée dans plus de 10 millions de véhicules dans le monde. « La règle générale est simple : ils se concentreront sur l’obtention du jour de paie le plus élevé. »
Les attaques par rançongiciel sur les flottes sont la principale préoccupation des chercheurs de GRIMM, note Tisdale. Il y a déjà eu plusieurs attaques contre les entreprises de camionnage au cours des dernières années, bien que presque toutes se soient centrées sur les systèmes de gestion de flotte de back-office. Bien qu’aucune attaque directe sur les véhicules n’ait été signalée, elles constituent une préoccupation majeure de l’industrie du camionnage américaine de près de 800 milliards USD.
Une surface de cyberattaque massive
Les véhicules connectés à Internet et autonomes sont particulièrement sensibles aux exploitations en raison de la complexité redoutable de leurs systèmes logiciels.
Les voitures modernes contiennent entre 40 et 150 unités de commande électroniques (ECU), des puces d’ordinateur qui contrôlent tout, de la température à l’intérieur de la cabine au freinage automatique lorsque ce 18 roues devant vous grince soudainement. Le logiciel exécuté sur ces ECU se compose
de plus de 100 millions de lignes de code, soit plusieurs fois plus de code que ce que l’on trouve dans le F-35 Joint Strike F.C. F.35 de l’armée de l’air américaine, par exemple.
Les véhicules sont également une cible riche en données. Les voitures connectées et autonomes génèrent d’énormes quantités de données. (Les estimations vont de 300 gigaoctets à 32 téraoctets par jour.) Il s’agit d’une multitude d’informations sur l’emplacement des conducteurs, les habitudes de conduite, les détails de facturation et les performances de la voiture, que les attaquants pourraient utiliser pour extorquer ou embarrasser des entreprises et des personnes de haut niveau.
Les véhicules les plus vulnérables aux attaques sont ceux qui offrent des interfaces externes telles que des porte-clés, la télématique, des systèmes de divertissement et des applications tierces, note Slava Bronfman, PDG et cofondatrice de Cybellum. Sa plateforme permet aux fournisseurs automobiles de créer des jumeaux numériques, des simulations virtuelles des voitures et de leurs composants, qui peuvent être interrogés pour détecter les vulnérabilités depuis leur conception initiale jusqu’au cycle de vie du véhicule.
Les malfaiteurs cherchent à attaquer les véhicules avec le moins de protections, ajoute Tisdale de GRIMM. En 2015, c’était la voiture ou le camion lui-même. Aujourd’hui, c’est l’ensemble de l’environnement dans lequel les véhicules fonctionnent, qui comprend les serveurs, satellites et tours cellulaires avec lesquels ils communiquent, ainsi que l’infrastructure comme les feux de circulation intelligents, les capteurs de route intégrés et les stations de charge.
Il est temps de réglementer
L’industrie informatique a appris relativement tôt que le partage d’informations est essentiel pour identifier et atténuer les menaces de sécurité. C’est pourquoi l’équipe américaine de préparation aux situations d’urgence informatique (US-CERT) a été créée, et pourquoi des bases de données telles que la liste des vulnérabilités et expositions courantes (CVE) de Mitre existent.
« Des milliards ont été investis dans ces technologies, et nous ne revenons pas en arrière. »Jennifer Tisdale, PDG, GRIMM
Les fabricants et fournisseurs automobiles ont traditionnellement été réticents à partager des informations avec des concurrents. Cela a commencé à changer en 2015 lorsque l’industrie a créé le Automotive Information Sharing and Analysis Center (Auto-ISAC). Malgré cela, déclare Tisdale, les vulnérabilités de sécurité restent un sujet sensible pour beaucoup dans le secteur.
Mais les nouvelles réglementations de la Commission économique des Nations Unies pour l’Europe (CENU) incitent les constructeurs automobiles à améliorer leur cybersécurité. Les réglementations établissent les exigences de performance et d’audit de cybersécurité pour tous les nouveaux types de véhicules vendus en 2022 et toutes les inscriptions de nouveaux véhicules à partir de 2024, déclare Niranjan Manohar, directeur du consulting pour les voitures connectées et l’Internet des objets (IdO) automobile du cabinet de conseil Frost & Sullivan. Bien que les États-Unis ne fassent pas partie des 54 pays membres de l’UNECE, les constructeurs automobiles américains devront respecter ses règles s’ils souhaitent vendre des voitures dans des pays qui le sont.
L’introduction des réglementations est une étape majeure, déclare M. Bronfman, mais il reste encore du travail à faire. « Bien que les fabricants d’équipements d’origine (OEM) et les fournisseurs aient commencé à travailler sur la conformité, elle est toujours considérée comme une exigence à satisfaire au lieu d’un moyen de rendre les véhicules à l’abri des cyberattaques », ajoute-t-il.
Ce ne sera pas facile, avertit Manohar. « Une expertise technique limitée et des coûts initiaux énormes impliqués dans l’exécution de nouveaux processus remettront en question la mise en œuvre en interne pour les OEM », déclare-t-il. Par conséquent, les principaux constructeurs automobiles et fournisseurs s’associent à des entreprises de sécurité telles que GRIMM, Upstream et Cybellum, entre autres.
Vous êtes stupide d’être intelligent ?
Frost & Sullivan prévoit que 86 % des voitures qui sortent des chaînes d’assemblage en 2025 seront connectées à Internet. Et presque toutes les voitures vendues au cours des dernières années contiennent une certaine forme de technologies d’aide à la conduite automatisée qui pourraient être ciblées lors d’une attaque, comme le régulateur de vitesse adaptatif ou la direction mains libres.
Si vous n’utilisez pas déjà une voiture ou un camion connecté ou semi-autonome, vous pourriez bientôt l’être. Mais vos options pour les sécuriser sont minimes : vous ne pouvez pas télécharger votre propre logiciel pour protéger votre iPhone sur roulettes, et vous ne pourrez pas vous déconnecter.
Les entreprises automobiles continueront à fournir des mises à jour de leur sécurité et d’autres logiciels internes, déclare Manohar. Mais dans quelle mesure ces mises à jour seront-elles sécurisées ? Les entreprises seront-elles en mesure d’effectuer une mise à jour complète du firmware à la volée ? Les consommateurs ou les employés de l’entreprise seront-ils trompés pour accepter des mises à jour malveillantes, comme ils le sont souvent avec leurs ordinateurs ? Il s’agit de problèmes que les constructeurs et les fournisseurs automobiles doivent encore résoudre, dit-il.
Les entreprises qui possèdent ou exploitent des flottes connectées devront employer les mêmes politiques de cyberhygiène et de gestion des correctifs , voire de meilleures politiques, que celles appliquées à leurs autres actifs numériques, et surveiller de près les nouvelles menaces lorsqu’elles surviennent.
Molho d’Upstream pense que les consommateurs et les entreprises feront des choix d’achat pour les voitures et les camions à l’avenir en fonction en partie des fonctionnalités de sécurité, ce qui forcera les fabricants à répondre. Bronfman recommande que l’industrie automobile adopte un système de notation de cybersécurité, similaire aux notations de sécurité de la National Highway Traffic Safety Administration.
D’ici là, les entreprises et les consommateurs doivent faire tout ce qu’ils peuvent pour se protéger.
« Dans la communauté des pirates informatiques, nous avons un dicton : « C’est stupide d’être intelligent », déclare Tisdale. « Nous disposons désormais de voitures intelligentes, de villes intelligentes et de systèmes de transport intelligents. Des milliards ont été investis dans ces technologies, et nous ne revenons pas en arrière. La question devient donc : Comment pouvons-nous travailler collectivement pour assurer la sécurité ? »
