Des millions de véhicules Kia menacés par une vulnérabilité alarmante de piratage à distance
Des chercheurs en sécurité ont récemment découvert de graves vulnérabilités dans les systèmes en ligne de Kia, qui ont rendu des millions de véhicules vulnérables au piratage à distance. Il ne s'agissait pas seulement d'accéder à quelques fonctionnalités sans importance. Les failles découvertes auraient pu donner aux pirates le pouvoir de contrôler les fonctions clés du véhicule, le tout en quelques étapes simples.
Table des matières
L'exploit dangereux
Imaginez : avec rien d'autre que le numéro de plaque d'immatriculation de votre voiture, un pirate pourrait potentiellement prendre le contrôle de votre véhicule en moins de 30 secondes. Inquiétant, n'est-ce pas ? Sam Curry, chercheur en cybersécurité, et une équipe de trois autres experts ont découvert ces failles inquiétantes dans le portail des propriétaires de Kia, un système en ligne qui relie les propriétaires de véhicules à leurs voitures.
Ces vulnérabilités ont non seulement ouvert la voie au contrôle à distance des véhicules, mais ont également exposé un trésor d'informations personnelles. Des détails tels que le nom, l'adresse, l'adresse e-mail et le numéro de téléphone du propriétaire de la voiture ont pu être extraits sans effort. Plus inquiétant encore, les attaquants ont pu créer un deuxième profil d'utilisateur à l'insu du propriétaire, ce qui leur a permis d'envoyer des commandes au véhicule, comme le déverrouillage des portes ou même le démarrage du moteur.
La panne technique
Comment ces vulnérabilités ont-elles pu passer entre les mailles du filet ? Selon Curry, le site Web des propriétaires de Kia n’était pas seulement un portail permettant de vérifier les informations sur le véhicule : il avait la capacité d’exécuter des commandes Internet vers le véhicule. Cette fonctionnalité était rendue possible grâce à un proxy inverse backend qui dirigeait ces commandes vers une API chargée d’exécuter les actions.
De plus, l'infrastructure du concessionnaire Kia présentait des risques similaires. Après l'enregistrement sur le site du concessionnaire, la même requête utilisée pour l'enregistrement sur le portail des propriétaires de Kia pouvait être manipulée. Les chercheurs ont pu obtenir un jeton d'accès, leur permettant d'appeler les API du concessionnaire.
En termes simples, le système remettrait les clés du royaume. En exploitant ces vulnérabilités, les pirates pourraient récupérer des données personnelles sensibles et même remplacer l'adresse e-mail du propriétaire, devenant ainsi le principal titulaire du compte. À partir de là, ils pourraient envoyer des commandes au véhicule, le tout sans éveiller les soupçons du propriétaire.
Une faille d'une portée considérable
L'un des aspects les plus troublants de cette vulnérabilité était son ampleur. L'équipe de Curry a pu créer un tableau de bord de démonstration de faisabilité qui leur permettait de saisir une plaque d'immatriculation, de récupérer les informations personnelles du propriétaire et d'envoyer des commandes au véhicule. Selon Curry, tout modèle Kia fabriqué après 2013 était potentiellement à risque.
Une fois compromise, le pirate pourrait suivre la voiture, manipuler des fonctionnalités telles que le déverrouillage des portes, le klaxon ou le démarrage du moteur, le tout depuis le confort d'un clavier.
Le plus choquant, c'est peut-être cela ? Du point de vue du propriétaire, il n'y a eu aucune notification ou alerte indiquant que son véhicule avait été consulté ou que son compte avait été modifié. Il s'agissait essentiellement d'une prise de contrôle silencieuse.
La réponse de Kia
Heureusement, après que les vulnérabilités ont été signalées à Kia en juin 2024, le constructeur automobile a réagi. À la mi-août, il a mis en œuvre un correctif pour remédier aux failles et protéger ses véhicules contre les exploits à distance. Si ce correctif a été un soulagement pour beaucoup, il constitue un rappel brutal de la connectivité croissante de nos véhicules et de leur vulnérabilité aux cyberattaques.
Quelle est la prochaine étape pour la sécurité des véhicules ?
Alors que de plus en plus de constructeurs automobiles intègrent des technologies de pointe et des systèmes basés sur Internet dans leurs véhicules, le risque de cybermenaces augmente. L’incident de Kia sert de signal d’alarme, soulignant l’importance d’une cybersécurité robuste dans les véhicules modernes. À mesure que l’industrie automobile évolue, les protocoles de sécurité conçus pour protéger les voitures et les conducteurs des menaces numériques doivent également évoluer.
Cet épisode devrait inciter les constructeurs automobiles, et Kia en particulier, à revoir et à mettre à jour en permanence leurs mesures de sécurité. Pour les propriétaires de véhicules, il est essentiel de rester informés, d'appliquer rapidement les mises à jour et d'être conscients des éventuelles failles de sécurité qui pourraient survenir à l'ère des voitures connectées.
L’avenir numérique des voitures est passionnant, mais il comporte également des risques importants, qui nécessitent une attention particulière pour protéger tous les usagers de la route des menaces physiques et numériques.