Voitures connectées : les failles dépassent l’habitacle

9 novembre 2026 0 Par eternos974

La sécurité d’une voiture connectée ne s’arrête pas à son électronique embarquée. Une étude publiée dans Software Quality Journal cartographie 413 vulnérabilités liées à l’écosystème automobile sur la période allant de janvier 2022 à septembre 2024. Elle attire l’attention sur les applications, les services distants et les composants logiciels utilisés autour du véhicule.

Ce travail porte sur des failles recensées : il ne décrit pas 413 voitures piratées ni autant d’attaques réussies. Cette distinction est essentielle pour comprendre les résultats. Une vulnérabilité signale une possibilité de défaillance ou d’exploitation ; son impact concret dépend de l’environnement, des accès nécessaires et des protections en place.

Les services distants élargissent la surface d’exposition

Les applications, sites et services cloud forment une catégorie importante du corpus, à laquelle l’étude attribue 36,2 % des vulnérabilités. Le risque ne se limite donc pas aux commandes du véhicule : des comptes, des interfaces de service et des données de déplacement peuvent aussi être concernés.

L’exposition de données touchant quelque 800 000 voitures électriques du groupe Volkswagen, révélée fin 2024, illustre cette dimension. Il s’agit d’un incident distinct, utilisé pour éclairer les enjeux des services connectés. Un accès à des données de localisation ne doit pas être assimilé automatiquement à la prise de contrôle du freinage ou de la direction.

Des niveaux de risque à interpréter avec soin

Les auteurs croisent plusieurs sources de signalement et examinent aussi des dépendances logicielles. Ils discutent la gravité des failles et les limites de leur méthode. Un ensemble constitué à partir de publications disponibles ne mesure pas directement la probabilité qu’un conducteur soit attaqué.

La présence d’une faille dans un composant partagé peut toucher plusieurs usages. À l’inverse, son absence d’un catalogue d’exploitation connue ne démontre pas qu’elle est inoffensive. Le document relève 17 CVE pertinentes ajoutées au catalogue KEV entre 2022 et 2024 ; ce nombre ne représente pas le total des attaques automobiles sur la période.

Relier protection des données et sûreté du véhicule

L’enjeu industriel est de limiter les chemins possibles entre un service exposé et une fonction sensible. Une application, un système multimédia et une commande critique ne devraient pas disposer des mêmes droits ni partager sans contrôle leurs accès. Identifier les composants et organiser leur maintenance compte aussi dans la durée.

Pour les équipes chargées de ces systèmes, l’intérêt de l’étude est de raisonner sur toute la chaîne logicielle, plutôt que sur le seul calculateur embarqué. La protection des données et la sûreté de conduite posent des problèmes liés, mais distincts. Cette lecture évite deux raccourcis : croire qu’un service situé hors du véhicule est sans conséquence, ou conclure que toute faille distante permet nécessairement de prendre le volant à distance.

Sources : Article de référence · link.springer.com.