Dennis Schneider (texte)
La voiture répond à vos commandes vocales. Reste à savoir qui d’autre tend l’oreille. Le renseignement néerlandais met en garde contre les risques d’espionnage liés aux véhicules connectés. Microphones, caméras et connexions aux smartphones peuvent devenir autant de points de vulnérabilité.
Un appel confidentiel sur le trajet du retour, une visite sur un site d’entreprise sensible, un téléphone professionnel connecté au véhicule: ces gestes ordinaires méritent, selon l’AIVD, le service néerlandais de renseignement et de sécurité, un examen plus attentif. Publiée le 30 septembre, sa mise en garde s’adresse en priorité aux personnes qui, dans les entreprises ou les administrations, ont accès à des informations sensibles.
Le scénario décrit a de quoi inquiéter. Lorsque l’accès aux systèmes le permet, des microphones et des caméras peuvent être activés à distance. Des attaquants pourraient ainsi écouter des conversations ou enregistrer des images à l’intérieur et aux abords du véhicule. La géolocalisation en temps réel figure elle aussi parmi les cibles possibles. Le confort connecté a des yeux, des oreilles et des coordonnées.
La question devient particulièrement délicate lorsqu’un smartphone est associé au véhicule. Bluetooth, wi-fi, USB, voire recharge sans fil: l’AIVD mentionne ces interfaces comme autant de voies d’accès potentielles. Elles pourraient permettre à des attaquants d’atteindre les systèmes du véhicule et d’extraire des données des appareils connectés. La mise en garde ne détaille toutefois pas les vulnérabilités propres à chaque technologie.
L’enjeu dépasse largement le tableau de bord. Selon l’AIVD, les constructeurs ne sont pas les seuls à pouvoir accéder à certaines données du véhicule: concessionnaires, sociétés de leasing et de maintenance, fournisseurs d’applications, équipementiers et prestataires de services cloud peuvent également y avoir accès. Des acteurs étatiques pourraient obtenir ces informations auprès des entreprises ou par des opérations de piratage. Un accès autorisé aux données ne relève pas, à lui seul, de l’espionnage. Il souligne cependant la multiplicité des intervenants dont dépend leur sécurité.
Pour les personnes particulièrement exposées, les recommandations sont sans ambiguïté: ne pas tenir de conversations confidentielles dans le véhicule ou à proximité, ne pas connecter ses appareils sans précaution et éviter les connexions automatiques Bluetooth et wi-fi. Pour l’USB, le service recommande un adaptateur qui bloque le transfert de données. Il déconseille également la recharge sans fil à ce public.
Quelle portée donner à l’alerte? L’AIVD ne désigne ni pays d’origine, ni marque, ni série de véhicules dont les systèmes auraient été compromis de manière avérée. Il ne présente pas non plus de preuve concrète d’une attaque contre les systèmes décrits. Le risque technique mérite d’être pris au sérieux; il ne démontre pas qu’un véhicule donné espionne effectivement ses occupants.
En Suisse aussi, une conséquence paraît évidente: quiconque doit protéger des informations ou des sites sensibles devrait intégrer le véhicule à son dispositif de sécurité. La confidentialité ne s’arrête pas au moment de prendre le volant. Une voiture de fonction mérite donc aussi d’être examinée sous l’angle des données qu’elle traite.
Pour les garages, les sociétés de location et les marchands de véhicules d’occasion, une autre question se pose: celle des traces numériques laissées lors d’un changement d’utilisateur. L’Office fédéral de la cybersécurité recommande, avant de céder un appareil électronique, de supprimer les données personnelles et les liens avec les comptes de l’utilisateur, puis de vérifier leur effacement. Transposé à l’automobile, ce principe suppose de contrôler les contacts et les adresses enregistrés, de dissocier les comptes et de révoquer les clés numériques. Reste à déterminer, pour chaque système, si le retour aux paramètres d’usine supprime aussi les données conservées dans le cloud du constructeur. L’alerte de l’AIVD ne répond pas à cette question.
L’industrie parle de voitures «intelligentes». La question décisive reste d’une simplicité désarmante: qui a accès à quoi?
