Fuite de données chez Volkswagen : 800 000 véhicules électriques exposés

Fuite de données chez Volkswagen : 800 000 véhicules électriques exposés

Une fuite massive de données a récemment mis en lumière une faille de sécurité majeure chez Volkswagen, exposant les informations de plus de 800 000 véhicules électriques (VE) de la marque. La fuite, qui a révélé des données personnelles sensibles et des informations de localisation des utilisateurs, a été découverte par un lanceur d'alerte et rapportée par le média Der Spiegel. Cette situation souligne les lacunes de sécurité importantes au sein de Cariad, la filiale logicielle de VW.

Des données de localisation exposées

Les informations compromises concernaient les propriétaires de véhicules des marques Volkswagen, Audi, Seat et Škoda. Ces données étaient stockées sur un serveur Amazon Cloud non protégé, permettant à toute personne ayant des compétences techniques de base d'y accéder. Parmi les informations révélées figuraient :

• Des logs de localisation détaillant les endroits et les moments où les véhicules étaient stationnés.
• Des informations personnelles des propriétaires, telles que leurs noms, adresses e-mail et numéros de téléphone.
• Des données sur les habitudes des utilisateurs, y compris leurs lieux de travail, loisirs et visites sensibles, comme des bureaux gouvernementaux ou des établissements médicaux.

Cette fuite a créé des risques importants d'exploitation par des criminels, des acteurs d'espionnage ou des hackers. Linus Neumann du Chaos Computer Club (CCC) a comparé cette situation à « laisser une clé géante sous un paillasson fragile ».

Des utilisateurs et institutions affectés

La fuite n'a pas seulement affecté les utilisateurs individuels, mais aussi plusieurs entités institutionnelles. Parmi les personnes concernées, on retrouve :

• La politicienne Nadja Weippert, membre du Parti Vert et défenseure de la vie privée, qui a découvert que ses déplacements étaient minutieusement enregistrés et liés à des informations personnelles identifiables.
• Markus Grübel, membre du Bundestag de la CDU, qui a exprimé des inquiétudes similaires, soulignant que cet incident entachait la confiance du public dans l'industrie automobile.
• La police de Hambourg, qui possède 35 véhicules électriques dans sa flotte, a également été touchée par cette fuite.

Des données provenant de plusieurs pays, dont l'Allemagne, Israël et l'Ukraine, étaient accessibles. Dans certains cas, les données GPS étaient précises à 10 centimètres près.

La réponse de Cariad

En réponse à cette faille, Cariad, la filiale logicielle de Volkswagen, a reconnu l'incident et indiqué que le Chaos Computer Club avait signalé une mauvaise configuration dans deux applications informatiques le 26 novembre 2024. L'entreprise a immédiatement pris des mesures pour corriger la vulnérabilité. Celle-ci a depuis été fermée et n'existe plus.

Cariad a précisé que les données impliquées n'étaient pas des informations personnelles sensibles telles que des mots de passe ou des détails de paiement, et qu'aucun véhicule ni service n'a été affecté. Seules certaines données des véhicules connectés en ligne ont été compromises. La société a également confirmé qu'aucun accès non autorisé de tiers n'avait eu lieu et a informé les autorités compétentes de l'incident.

En outre, Cariad a expliqué que les données, telles que les comportements de charge, étaient anonymisées et utilisées pour améliorer les fonctionnalités futures des véhicules, comme les logiciels de batterie et de recharge. Aucune création de profils personnels n'a été effectuée, et les clients avaient la possibilité de désactiver les services en ligne à tout moment.

Les failles de sécurité de VW

Cet incident fait écho à d'autres préoccupations concernant les failles de sécurité chez Volkswagen, notamment une vulnérabilité de 20 ans dans le logiciel des concessionnaires exposant les données des clients, une opération d'espionnage de cinq ans par des hackers chinois visant les propriétés intellectuelles de VW, ainsi que des vulnérabilités critiques dans les systèmes des véhicules permettant des disruptions à distance des moteurs et le vol de données. Ces incidents soulignent l'importance urgente pour VW et d'autres constructeurs automobiles de renforcer leur cybersécurité dans leurs services numériques et connectés.