Des failles dans un portail de concessionnaires aux États-Unis permettaient à des pirates de déverrouiller des voitures à distance et d’accéder à des données clients sensibles.
En bref
- Un portail de gestion de concessionnaires automobiles présentait deux failles critiques exploitables à distance sans identifiants internes.
- Un compte administrateur national pouvait être créé pour contrôler plus de 1 000 concessions.
- Les pirates pouvaient réaffecter un véhicule à un nouveau compte et déverrouiller ou démarrer le moteur.
- Des données personnelles, financières et opérationnelles étaient accessibles, y compris la géolocalisation en temps réel.
Les révélations détaillées par le chercheur en sécurité Eaton Zveare à la conférence DEF CON 33 ont mis en lumière une chaîne de failles dans la plateforme de gestion d’un grand constructeur automobile américain. Utilisée quotidiennement par plus de 1 000 concessions, cette application web gère la commande de véhicules, le financement, le suivi télématique et bien plus encore. L’exploitation ne nécessitait aucun accès privilégié initial, seulement un navigateur web.
Une faille d’inscription et des API mal protégées
La première faiblesse provenait de l’API d’inscription, censée valider un « jeton d’invitation » pour créer un compte concessionnaire. Ce contrôle n’était pas appliqué côté serveur, permettant à un attaquant de s’enregistrer librement. Une deuxième faille, dans la fonction de mise à jour de profil, permettait d’obtenir une session valide et d’accéder à des fichiers JavaScript internes, exposant des API administratives non documentées.
En modifiant localement les scripts du portail, Zveare a débloqué l’interface de gestion des utilisateurs et créé un compte « national admin » avec des droits complets. Ce compte pouvait se faire passer pour n’importe quel employé, modifier les paramètres SSO et accéder aux portails de sous-marques.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Du contrôle des comptes à la prise en main des véhicules
Avec ces droits, il était possible de consulter les fiches clients par nom ou VIN (numéro de série), de réaffecter un véhicule à un compte pirate et de commander des fonctions à distance comme le déverrouillage des portes ou le démarrage du moteur. Zveare a testé cette capacité sur le véhicule d’un ami consentant, confirmant la faisabilité.
Les systèmes connectés exposaient aussi des données sensibles : numéros de sécurité sociale des employés, contrats de financement, localisation GPS en temps réel de véhicules de prêt, et outils logistiques permettant d’annuler des livraisons.
Un risque systémique pour l’écosystème automobile
Bien que corrigées en une semaine après signalement, ces failles soulignent la fragilité des écosystèmes interconnectés. Deux erreurs d’authentification API suffisaient à compromettre un réseau complet de concessionnaires et de véhicules connectés.
Pour les automobilistes, il est impossible de renforcer directement la sécurité de ces portails. Cependant, limiter le partage de données avec les concessions, surveiller toute activité inhabituelle et éviter les inscriptions inutiles à des applications mobiles peuvent réduire les risques.
En présentant ses travaux, Zveare rappelle que la complexité croissante des systèmes connectés exige des contrôles côté serveur stricts, une authentification robuste et des revues de code régulières pour empêcher de telles compromissions.
Pour en savoir plus
La présentation de Eaton Zveare lors de DEF CON 33
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
