Véhicules connectés : Une inquiétante augmentation des cyberattaques toujours plus sophistiquées

Le rapport sur la cybersécurité automobile en amont révèle que les principales catégories d’attaques sont les violations de données/de la vie privée, les vols/effractions de voitures et les systèmes de contrôle.

Selon le quatrième rapport annuel d’Upstream sur la cybersécurité dans le secteur automobile, l’année 2021 a été marquée par un nombre croissant de cyberattaques contre les voitures, les pirates exploitant les technologies de pointe.

Upstream, une plateforme de cybersécurité et de gestion des données pour les véhicules connectés, basée à Herzliya et dans le Michigan, a analysé plus de 900 cyberattaques sur les voitures signalées publiquement au cours de la dernière décennie.

• La fréquence des cyberattaques sur les voitures a augmenté de 225 % entre 2018 et 2021.
• Près de 85 % des attaques en 2021 ont été menées à distance, dépassant les attaques physiques à quatre contre un.
• 40 % des attaques ont ciblé des serveurs dorsaux.
• En 2021, 54,1 % des attaques ont été menées par des acteurs « Black Hat » (malveillants), contre 49,3 % en 2020.
• Les principales catégories d’attaques étaient les violations de données/de la vie privée (38 %), les vols/effractions de voitures (27 %) et les systèmes de contrôle (20 %).
• Les attaques par entrée sans clé et par porte-clés représentent 50 % de tous les vols de véhicules. Il suffit que les voleurs soient à proximité de la télécommande pour qu’un hacker Black Hat puisse capter et reproduire son signal.

Au total, Upstream estime que l’industrie automobile devrait perdre 505 milliards de dollars d’ici 2024 à cause des cyberattaques.
Yoav Levy, cofondateur et PDG d’Upstream, à gauche, et Yonatan Appel, cofondateur et directeur technique. Photo : David Grub

La sophistication croissante des pirates de véhicules continuera d’évoluer à mesure que l’industrie continuera d’adopter une connectivité avancée « , explique Yoav Levy, cofondateur et PDG d’Upstream.

Cela signifie que la voiture dispose d’une connexion à Internet, que ce soit pour diffuser de la musique, accéder à Waze ou Google Maps ou se souvenir des préférences de votre Starbucks du matin.

Le V2X, la capacité pour un véhicule de non seulement détecter mais de s’engager avec l’infrastructure, les véhicules et d’autres actifs autour de lui, va créer de nouveaux vecteurs qui seront tous trop tentants pour les acteurs de Black Hat.

En 2018, il y avait 330 millions de voitures connectées, selon Upstream. Ce chiffre devrait passer à 775 millions d’ici 2023. Une voiture connectée produit quelque 25 Go de données par heure d’ici 2025. Pour un véhicule entièrement autonome, ce chiffre grimpe à 500 Go par heure.

Comment les pirates accèdent aux véhicules

Les pirates utilisent huit astuces principales pour accéder aux véhicules, selon Upstream.

1. 1. L’usurpation de messages ou de données (le message semble provenir d’une personne que vous connaissez, mais il s’agit en réalité d’un pirate).
      Manipulation du code interne et des données du véhicule.
   2. Envoyer des messages nuisibles par le biais du système de communication et de divertissement de la voiture.
   3. Profiter des vulnérabilités d’accès aux informations sensibles dans certains véhicules.
   4. Attaques par déni de service (DoS) qui provoquent un dysfonctionnement de la voiture.
   5. Coopter un accès privilégié.
   6. Intégrer des virus dans les supports de communication.
   7. l’envoi de messages contenant des contenus malveillants, qui peuvent être reçus aussi bien par une voiture que par un téléphone ou un ordinateur personnel.

Si un piratage qui désactive, par exemple, les freins d’une voiture en marche peut mettre la vie en danger, le vol simple est un problème plus immédiat et plus urgent.

En septembre 2021, par exemple, des voleurs ont utilisé du matériel de piratage sophistiqué pour dérober 25 voitures de luxe de fabrication européenne à Londres.

À Oakville, au Canada, 124 vols de véhicules ont été signalés au cours du premier semestre 2021, dans une ville qui ne compte que 211 000 habitants. Soixante-six pour cent de ces vols ont été commis au moyen d’une technologie d’entrée sans clé, et certains ont eu lieu en plein jour.

Il ne s’agit pas seulement de voitures. Deux grandes sociétés de transport public israéliennes ont récemment été frappées par des attaques de ransomware et ont vu leurs données fuir sur le Darknet. En plus des données volées, l’attaque a entraîné la fermeture des sites web des entreprises.

Comment les pirates ciblent les véhicules

Pendant la pandémie de Covid-19 et la pénurie de puces et les problèmes de chaîne d’approvisionnement qui l’accompagnent, les escrocs du Black Hat ont inondé le marché de pièces et de composants contrefaits, qui peuvent constituer un danger pour la sécurité des conducteurs et des véhicules.

Parmi les attaques les plus audacieuses rapportées par Upstream : En avril 2021, les portes d’un véhicule d’un fabricant nord-américain de VE ont été piratées à l’aide d’un drone transportant une clé électronique Wi-Fi.

Même les bornes de recharge électrique peuvent être piratées, ce qui permet aux acteurs de Black Hat d’allumer et d’éteindre les chargeurs à distance, de supprimer l’accès d’un propriétaire et de verrouiller ou déverrouiller le câble de recharge. Les mauvais acteurs peuvent voler l’identité d’un propriétaire de véhicule par le biais de la borne de recharge, empêcher les propriétaires de recharger leurs véhicules et recharger gratuitement leurs propres véhicules.

« En fin de compte, la plupart des bornes de recharge intelligentes pour VE que nous avons étudiées étaient vulnérables aux attaques », indique Upstream.

Le problème n’est pas prêt de disparaître.

« Aujourd’hui, il y a plus de lignes de code dans la voiture connectée que dans d’autres machines hautement sophistiquées, notamment le F-35 Joint Strike Fighter de l’armée de l’air américaine, le Boeing 787 Dreamliner ou une navette spatiale de la NASA », préviennent les auteurs du rapport.

« Avec la révolution actuelle de la connectivité automobile et la croissance exponentielle du nombre de véhicules connectés sur la route, il est impératif pour l’industrie automobile de comprendre, de prévoir et de combattre les menaces croissantes de cybersécurité », a déclaré M. Levy.

Vous pouvez télécharger une copie du rapport complet de 900 pages sur la cybersécurité d’Upstream ici.