Le hack de voitures, une activité en plein essor

Les chercheurs et experts en sécurité informatique ne cessent de tirer la sonnette d'alarme auprès des constructeurs automobiles sur les vulnérabilités des voitures connectées. Depuis plusieurs années, ils multiplient les démonstrations de hacking révélant que des failles de sécurité au sein de leurs systèmes informatiques embarqués pourraient être exploitées via Internet par des cybercriminels. Plusieurs cas concrets d'attaques confirment que les menaces sont déjà bien présentes, que cela soit sur des modèles connectés ou non...

Devenues de véritables ordinateurs sur roues, les voitures aujourd'hui sont toujours plus bardées de composants électroniques qui communiquent non seulement entre eux, mais aussi avec l'extérieur, via leur connectivité Internet. Si ces technologies ont pour but d'apporter confort et sécurité au volant, elles exposent également les automobilistes à de nouveaux risques.

Différents experts en sécurité ont déjà réussi à prouver qu'il était possible de pirater et de prendre le contrôle total d'une voiture connectée : ils ont ainsi pu freiner, accélérer, ou encore changer de direction à la place du conducteur, par exemple. Ce type de manipulations requiert de solides connaissances et d'importants moyens matériels qui seraient pour l'instant, d'après les spécialistes, hors de portée des hackers. Mais la prise de contrôle à distance via Internet n'est pas la seule menace qui plane sur les automobilistes.


De la collecte des données privées via les systèmes d'infotainment embarqués, au brouillage des fréquences en vue de neutraliser à distance le verrouillage d'un véhicule, en passant par le vol de voitures par assistance informatique, les risques sont multiples. Outre les cyberattaques ayant déjà été perpétrées dans le secteur automobile, nous passerons en revue la faille de sécurité découverte sur les modèles du groupe BMW en début d'année, et l'impressionnante démonstration de deux experts qui viennent de réussir pour la première fois à pirater une voiture connectée sans avoir eu au préalable, physiquement accès au véhicule. Pour finir, nous reviendrons sur l'étrange accident de Michael Hasting, un journaliste d'investigation américain qui pourrait, selon les rumeurs, être le premier cas d'assassinat par voiture piratée. En route...

Piratages de voitures : les cas concrets

Selon un rapport de l'éditeur de solution de sécurité Kaspersky publié fin 2014, le piratage des voitures connectées n'est pas encore une réalité, mais il arrive à grands pas. Pour Damien Bancal, le fondateur du site spécialisé dans la cybercriminalité Zataz, le piratage automobile ne date pas d'hier. En 2010, il relatait déjà sur son site comment un employé d'une société de location de voitures au Texas, mécontent d'avoir été licencié, avait exploité une faille informatique pour se venger de son employeur. Il avait réussi à immobiliser une centaine de véhicules en réécrivant une partie du code du logiciel Emergency Start System (ESS) qui permettait de contrôler le système de démarrage à distance des véhicules du loueur.

Contrairement à ce que l'on pourrait croire, il n'y a pas que les voitures connectées dernier cri qui peuvent être piratées. Des modèles plus anciens, dotés d'un système de verrouillage électronique à distance et d'un ordinateur de bord peuvent être attaqués avec du matériel informatique et électronique. L'une des techniques en plein boom consiste à déjouer le système de fermeture des portières à distance à l'aide d'un « brouilleur de signal » (Signal Jamming Car en anglais). Les malfrats guettent les automobilistes qui garent leur véhicule. Lorsqu'ils sortent et tentent de le verrouiller avec leur télécommande, les pirates neutralisent le signal pour empêcher la fermeture des portières et le déclenchement de l'alarme s'il y en a une.

D'une efficacité redoutable, ce dispositif se vend entre 20 et 40 euros sur le black market (marché noir sur lequel les hackers se fournissent). Au mois de mai 2015, le ministère de l'Intérieur publiait un communiqué sur son site pour alerter les automobilistes sur l'augmentation de ce type de vols. A ce jour, la seule solution pour s'en prémunir est de vérifier à deux fois que les portières sont bien fermées.





Autre technique qui fait des ravages en France : le mouse-jacking (le vol à la souris). Sans forcément avoir de grandes compétences techniques, les malfrats exploitent différents outils technologiques pour déjouer le système de sécurité. Ils utilisent des kits de hacking parfois appelés Key Programmer (programmateur de clés) qui peuvent inclure ou non un jeu de clés ou de cartes vierges (il en existe pour toutes les grandes marques auto). Une fois branché sur la prise de diagnostic OBD (On Board Diagnostic) d'un véhicule, l'appareil est capable de reprogrammer une nouvelle clé et de démarrer l'automobile en quelques secondes.

D'après Damien Bancal, ces dispositifs sont vendus à partir d'une cinquantaine d'euros (pour les moins fiables) à plusieurs milliers d'euros pour les plus sophistiqués sur le black market, mais aussi sur des boutiques en ligne légales... Dans la capture ci-dessous, que le spécialiste nous a fournie, on peut voir sur un site du black market un kit disponible au prix de 700 dollars, comprenant un calculateur de codes et une clé-télécommande pour les modèles Ford de l'année 2012.



Un important réseau de trafiquants de voitures démantelé cette année en région parisienne utilisait un outil encore plus sophistiqué : une valise de diagnostics piratée. C'est le même matériel que les garagistes utilisent pour réparer les voitures. Durant plusieurs mois, ils auraient subtilisé sans clé ni effraction jusqu'à quinze véhicules par semaine de marques françaises (Renault, Peugeot, Citroën). Une fois branché sur la prise diagnostic d'un véhicule, le dispositif permet d'accéder au logiciel du constructeur par le biais d'un ordinateur portable. À partir de là, il est possible de prendre le contrôle total de la voiture, reprogrammer des clés, débloquer l'antidémarrage, effacer l'historique d'entretiens, voire de modifier le kilométrage.

Face à ces méthodes de vol sophistiquées, les professionnels de la sécurité automobile conseillent d'installer un traceur permettant de localiser les véhicules par GPS en cas de vol. Le hic, c'est que là encore, il existe des brouilleurs de GPS capables de neutraliser le signal de ces traceurs. Pas de doute, le secteur automobile est devenu le nouveau terrain de jeux des hackers, et ce n'est sans doute qu'un début...

Des failles de sécurité aux exploits chocs

Si la sécurité informatique était le dernier souci des constructeurs automobiles, elle est en passe de devenir l'une de leurs priorités absolues. Au début de l'année 2015, le fabricant allemand BMW s'est vu contraint de corriger de toute urgence l'une des plus importantes failles de sécurité jamais découvertes. Révélée par le centre technique de l'ADAC, l'automobile club allemand, la faille portait sur le système embarqué ConnectedDrive et sur une fonction de déverrouillage à distance via le smartphone, dans le cas où le conducteur aurait perdu sa clé. Or, durant cette procédure, non seulement la connexion entre le terminal mobile et les serveurs de BMW n'était pas cryptée, mais elle ne nécessitait aucune authentification ! Résultat, un hacker aurait pu facilement l'intercepter et voler la voiture sans la moindre effraction... Cette faille concernait pas moins de 2,2 millions de modèles haut de gamme BMW, mais aussi Mini, et Rolls-Royce.



Le 21 juillet 2015, Adam Greenberg, journaliste spécialisé en nouvelles technologies, publie un article accompagné d'un reportage vidéo sur le magazine américain WIRED qui fera date. Il y raconte comment les chercheurs Charlie Miller (ingénieur chez Twitter) et Chris Valasek (directeur des recherches dans la sécurité automobile chez IOActive) ont piraté une Jeep Cherokee via Internet. Ces deux hackers bienveillants n'en sont pas à leur coup d'essai. Ils sont notamment connus pour avoir réalisé en 2013, déjà en présence d'Adam Greenberg qui travaillait à l'époque pour le magazine Forbes, une démonstration durant laquelle ils avaient pris le contrôle total d'une Ford Escape en branchant un PC sur son tableau de bord.

Cette nouvelle expérience se révèle toutefois beaucoup plus impressionnante, car cette fois-ci, ils ne se trouvaient pas dans la voiture avec le journaliste, mais à l'intérieur d'une maison à plus de 15 km de là ! Au volant de l'automobile en train de rouler sur une autoroute, Adam Greenberg n'a aucune idée du type d'attaques prévues par les deux experts. Confortablement installés au fond d'un canapé, ils lancent des commandes à l'aide d'un ordinateur portable et commencent à jouer à distance avec l'air conditionné, la radio, ou encore les essuie-glaces du véhicule. La situation devient beaucoup plus inquiétante lorsqu'ils parviennent à prendre le contrôle total de la voiture en lieu et place du conducteur et à décélérer, freiner, éteindre le compteur de vitesse, etc. Visiblement pris de panique, le journaliste, toujours sur l'autoroute, finira par les appeler pour mettre fin à son calvaire. Effrayant !




Mandatés par le groupe Fiat Chrysler pour renforcer la sécurité informatique de ses véhicules, les deux experts ont trouvé une vulnérabilité dans le système de divertissement Uconnect qui fonctionne avec l'opérateur de téléphonie mobile Sprint. À condition de connaître l'adresse IP du véhicule et de se connecter sur le même réseau, ils expliquent que cette faille leur a permis de réécrire le code de l'ordinateur de bord de la voiture pour accéder à ses fonctions et en prendre le contrôle. Celle-ci concernait des centaines de milliers de véhicules du groupe qui s'est empressé de publier un correctif. Cette démonstration marque un tournant dans la sécurité informatique du secteur automobile, car c'est la première fois que des chercheurs parviennent à pirater un véhicule à distance sans y avoir eu accès physiquement au préalable.

Science-fiction ou réalité ?

Et si des services de renseignements comme le FBI étaient capables de pirater des voitures à distance et d'en prendre le contrôle ? Cette hypothèse n'en finit plus d'agiter les réseaux sociaux et les médias américains, depuis l'accident du journaliste du magazine Rolling Stone Michaël Hastings, célèbre pour avoir publié un article ayant conduit au limogeage d'un général américain de l'administration Obama.

Le 18 juin 2013 à Los Angeles, l'homme est retrouvé mort au volant de son coupé Mercedes C250 qui s'est écrasé à grande vitesse contre un arbre avant de prendre feu et d'exploser. Survenu sur une ligne droite dans une zone urbaine limitée à 50 km/h et sans qu'aucun autre véhicule ne soit impliqué, les circonstances du drame sont troublantes. Le moteur de la voiture a été retrouvé à plus 50 mètres du crash, apparemment éjecté par l'explosion. Or, les modèles haut de gamme comme la C250 ne sont pas censés exploser en cas de choc, comme le confirment de nombreux crash-tests effectués par les constructeurs.

Selon ses proches, Michaël Hastings, qui continuait d'enquêter sur l'armée, avait reçu plusieurs menaces de mort. Le lendemain de l'accident, un message sur le fil Twitter de Wikileaks affirmait que l'homme avait contacté l'avocate de l'organisation quelques heures avant sa mort pour lui dire qu'il pensait être sous le coup d'une enquête du FBI. Il n'en fallait pas plus pour que toutes sortes de théories du complot commencent à fleurir sur la Toile, dont la première hypothèse d'assassinat par voiture piratée ! Bien des internautes soupçonnent les services secrets américains d'avoir pris le contrôle à distance du véhicule pour éliminer le journaliste devenu trop gênant. L'enquête officielle n'a jamais permis d'affirmer ou d'infirmer ces théories...

Conclusion

Ce petit tour d'horizon non exhaustif sur la sécurité des voitures connectées n'est pas très rassurant. Malgré les mises en garde à répétition des experts depuis plusieurs années, rares sont les constructeurs à avoir pris le sujet à bras-le-corps et mis en place une véritable stratégie de sécurité informatique. L'exemple de la faille découverte chez BMW, pourtant considéré comme l'un des pionniers des technologies embarquées, en dit long sur le retard des constructeurs dans ce domaine. Certains fabricants comme Tesla commencent toutefois à réagir. La société du fringant Elon Musk a créé en 2014 une unité qui serait composée d'une trentaine de hackers pour sécuriser ses véhicules électriques.

Les éditeurs de solutions de sécurité Kaspersky et McAfee s'investissent également sur le marché très prometteur de la sécurité automobile. Il ne serait pas étonnant de voir apparaître un jour des antivirus à installer dans nos voitures ! En attendant, on constate que de simples dispositifs électroniques sont en vente libre sur Internet et permettent de déjouer les systèmes de sécurité des voitures. Et jusque-là, rien n'a été fait pour crypter le signal de verrouillage des véhicules, ou encore sécuriser les prises de diagnostic OBD par un système d'authentification... En somme, la vigilance est de mise pour les automobilistes, qui se trouvent bien désarmés face à ces nouvelles menaces.