Un fabricant américain de systèmes antivol pour automobiles a conservé, pendant près de dix ans, une clé numérique identique sur des millions de véhicules. Des chercheurs universitaires ont réussi à déverrouiller une voiture et à couper son moteur depuis un smartphone, à quelques mètres, sans qu’aucune alerte ne prévienne le conducteur.
Le système s’appelle KARR. C’est un boîtier Bluetooth vendu par Acrisure Protection Group. Depuis 2017, des concessionnaires Honda, Toyota, Mazda, Ford et Jeep en Californie du Sud l’installent avant même la livraison du véhicule, puis proposent l’abonnement au client. Même si vous refusez l’offre, le boîtier reste tout de même branché sous le tableau de bord. Une équipe de l’université de Californie à San Diego, dirigée par le professeur Aaron Schulman, a examiné le dispositif et identifié au moins 2,2 millions de véhicules concernés aux États-Unis, alors que la moitié de leurs propriétaires ignorent même l'existence du boîtier. Certains de ces véhicules circulent aussi au Canada et au Japon, revendus d’occasion avec leur système d’origine toujours actif. Chaque appareil partage la même clé d’authentification, stockée en clair dans l’application mobile associée.
À cinq mètres, on peut déverrouiller la voiture et couper le moteur
À environ quatre mètres et demi, un attaquant équipé de l’outil mis au point par l’équipe d’Aaron Schulman a pu déverrouiller la voiture ciblée et couper l’allumage, de quoi immobiliser un conducteur en train de conduire, en plein milieu du trafic. On n’entend qu’un bip et un clignotement discrets mais rien d’autre n’alerte l’automobiliste. Selon Jerry Yu, doctorant en informatique dans l'équipe d'Aaron Schulman et coauteur de l’étude, un voleur n’a plus besoin de briser une vitre, car il lui suffit de se connecter en Bluetooth au dispositif pour déverrouiller les portières. Il démarre ensuite le véhicule avec les outils qu’utilisent habituellement les serruriers professionnels.
Les propriétaires qui ont refusé l’abonnement payant pensaient leur boîtier inactif. Pourtant, en une seule commande de réveil transmise par Bluetooth on réactive l’ensemble des fonctions, selon les chercheurs. Chaque boîtier émet en permanence son identifiant Bluetooth. Des bases participatives comme WiGLE enregistrent ces signaux depuis des années, et on peut alors y retracer, identifiant après identifiant, l’historique de stationnement d’un véhicule. L'équipe a aussi réussi à déclencher à distance les phares et les avertisseurs sonores de plusieurs voitures garées côte à côte.
Dix-huit mois d’attente avant la publication d’un correctif
L’université de Californie à San Diego a signalé la faille à Acrisure Protection Group en janvier 2025. Le correctif logiciel n’est arrivé que le 20 juillet, dix-huit mois plus tard, quelques semaines avant la présentation prévue par l’équipe à la conférence DEF CON début août, puis à USENIX Security à Baltimore. Acrisure estime pourtant que le risque réel est limité pour ses clients.
Un an plus tôt, Subaru avait connu une faille comparable sur son portail Starlink, exploitable avec une plaque d’immatriculation et le nom du propriétaire du véhicule. Le constructeur a corrigé le problème en vingt-quatre heures.
Rockledge, un second fabricant de systèmes antivol et d’assurance automobile, vend des boîtiers différents. Dans ce cas, un attaquant doit se trouver physiquement à proximité du conducteur au moment où celui-ci utilise son système, pour intercepter puis rejouer l’échange numérique entre le téléphone et la voiture, une attaque par relais.
Le correctif d’Acrisure passe uniquement par l’application KARR, celle que seuls les clients payants ont téléchargée. La moitié environ des propriétaires concernés n’ont jamais installé cette application et n'ont donc aucune raison de la lancer un jour. Un million de personnes environ ne peuvent ainsi pas corriger une faille dont elles ignorent l’existence, parmi lesquelles de nombreux acheteurs de véhicules d'’occasion.
En France, plus de 140 000 véhicules disparaissent chaque année sans effraction, la plupart du temps via des réseaux organisés autour des systèmes sans clé. Le cas KARR nous montre qu’une technologie mise au point pour rassurer les propriétaires contient, par une erreur de conception, une entrée supplémentaire pour les voleurs.
