Comment des millions de voitures Kia ont pu être localisées

Un groupe de chercheurs en sécurité a découvert une vulnérabilité importante dans le portail Web du constructeur automobile sud-coréen Kia, qui permettait de pirater les voitures à distance et de suivre leurs propriétaires à la trace. Pour réaliser le piratage, seul le numéro de la plaque d’immatriculation de la voiture de la victime était nécessaire. Voyons ce qu’il en est.

Des voitures trop connectées

À bien y réfléchir, au cours des deux dernières décennies, les voitures sont essentiellement devenues de grands ordinateurs sur roues. Même les modèles les moins « intelligents » sont truffés de composants électroniques et équipés d’une série de capteurs, allant des sonars aux caméras, en passant par les détecteurs de mouvement et le GPS.

Et ce n’est pas tout : depuis quelques années, ces ordinateurs sont constamment connectés au réseau Internet, avec tous les risques qui en découlent. Il n’y a pas si longtemps, nous avons fait le point sur la manière dont les voitures actuelles collectent d’énormes quantités de données sur leurs propriétaires et les envoient au constructeur. De plus, les fabricants vendent également ces données collectées à d’autres entreprises, notamment aux assurances.

Cependant, ce problème présente un autre aspect : le fait d’être constamment connecté à Internet signifie que, s’il existe des vulnérabilités (dans la voiture elle-même ou dans le système cloud avec lequel elle communique), quelqu’un pourrait les exploiter pour pirater le système et suivre le propriétaire de la voiture à l’insu même du fabricant.

L’unité centrale d’une voiture n’est que la partie émergée de l’iceberg. En fait, les voitures d’aujourd’hui sont truffées de composants électroniques

Un bug pour les gouverner tous, un bug pour les trouver

C’est exactement ce qui s’est passé dans ce cas. Des chercheurs ont découvert une faille dans le portail Web de Kia, qui est utilisé par les propriétaires et les concessionnaires de la marque. Il s’est avéré qu’à l’aide de l’API, le portail permettait à n’importe qui de s’enregistrer en tant que concessionnaire automobile en quelques étapes relativement simples.

Le portail Kia dans lequel une vulnérabilité importante a été découverte. Source

Un pirate informatique pouvait ainsi accéder à des fonctions que même les concessionnaires automobiles ne devraient pas avoir, du moins, pas une fois que le véhicule était remis au client. Plus précisément, le portail permet d’abord de trouver n’importe quelle voiture Kia, puis d’accéder aux données du propriétaire (nom, numéro de téléphone, adresse email et même adresse physique), le tout avec le seul numéro de châssis du véhicule.

Il convient de noter que les numéros de châssis ne sont pas vraiment des informations secrètes. Dans certains pays, ils sont accessibles au public. Par exemple, aux États-Unis, il existe de nombreux services en ligne permettant de rechercher un numéro de châssis à partir du numéro de la plaque d’immatriculation d’un véhicule.

Schéma général de l’attaque du portail Web de Kia, qui permet de prendre le contrôle de n’importe quelle voiture à l’aide de son numéro de châssis. Source

Après avoir localisé la voiture, le pirate informatique pouvait utiliser les données du propriétaire pour enregistrer n’importe quel compte contrôlé par le pirate informatique dans le système de Kia en tant que nouvel utilisateur pour le véhicule. À partir de là, l’attaquant pouvait accéder à diverses fonctions accessibles normalement au propriétaire de la voiture par le biais de l’application mobile.

Ce qui est notamment intéressant, c’est que toutes ces fonctionnalités n’étaient pas seulement accessibles au concessionnaire qui avait vendu le véhicule en question, mais à tout concessionnaire enregistré dans le système de Kia.

Pirater une voiture en quelques secondes

Les chercheurs ont ensuite développé une application expérimentale permettant de prendre le contrôle de n’importe quel véhicule Kia en quelques secondes, simplement en entrant son numéro de plaque d’immatriculation dans les champs de saisie. L’application permettait de trouver automatiquement le numéro d’identification de la voiture auprès du service concerné et de l’utiliser pour ajouter le véhicule sur le compte des chercheurs.

Les chercheurs ont même créé une application pratique pour simplifier le piratage. Tout ce dont vous aviez besoin était le numéro de la plaque d’immatriculation de la voiture Kia. Source

Ensuite, une simple pression sur un bouton de l’application permettait à l’attaquant d’obtenir les coordonnées actuelles du véhicule, de verrouiller ou de déverrouiller les portes, de démarrer ou d’arrêter le moteur, ou encore de klaxonner.

L’application pouvait être utilisée pour obtenir les coordonnées de la voiture piratée et exécuter des commandes. Source

Il est important de noter que dans la plupart des cas, ces fonctions ne suffisent pas à voler un véhicule. Les modèles modernes sont généralement équipés de dispositifs d’immobilisation, qui nécessitent la présence physique de la clé pour être désactivés. Il y a quelques exceptions, mais il s’agit généralement de voitures bon marché qui n’ont que peu de chances d’intéresser des voleurs.

Quoi qu’il en soit, cette vulnérabilité aurait facilement pu être utilisée pour traquer le propriétaire de la voiture, voler des objets de valeur laissés à l’intérieur (ou y placer quelque chose), ou simplement perturber la vie du conducteur par des actions inattendues de la part du véhicule.

Les chercheurs ont suivi le protocole de divulgation responsable, en informant le fabricant du problème et en ne publiant leurs conclusions qu’après la résolution du bug par Kia. Ils précisent toutefois qu’ils avaient déjà découvert des vulnérabilités similaires auparavant et qu’ils sont convaincus qu’ils continueront à en découvrir d’autres à l’avenir.