Faille: déverrouiller n'importe quelle voiture à distance
Original : Unlocking any car from X brand in most of the world
Pourquoi c'est important
Les plateformes connected car exposent des millions de véhicules à des attaques purement web.
En juillet 2025, les chercheurs Shubham Shah et Sam Curry ont découvert des vulnérabilités critiques dans la plateforme connected car d'un grand constructeur automobile, permettant de déverrouiller n'importe quel véhicule de la marque via sa plaque d'immatriculation.
Tout commence avec une question simple : que fait l'application mobile quand on déverrouille son véhicule à distance ? Shubham Shah, cofondateur d'Assetnote et propriétaire d'un SUV de la marque concernée, décompile l'APK Android pour reconstruire les requêtes API. L'infrastructure repose sur un domaine central, redacted-telematics.com.au, et une reconnaissance basique révèle rapidement un sous-domaine particulièrement éloquent : admintool.redacted-telematics.com.au, intitulé "TEST HARNESS". Cet outil d'administration, accessible publiquement sur internet, affiche une page de connexion minimaliste — avec un bouton de déconnexion avant même de s'être identifié. Le bundle JavaScript complet est servi dès la page de login, révélant l'ensemble des fonctionnalités de l'outil : gestion des comptes clients, interaction avec les véhicules en production, et surtout des appels API nécessitant uniquement des clés codées en dur dans le JavaScript. Résultat : il suffisait de connaître une plaque d'immatriculation — facilement convertible en VIN via les registres publics australiens — pour accéder au véhicule correspondant et potentiellement le déverrouiller. L'étendue géographique de la faille couvrait la majorité des marchés mondiaux de la marque. La recherche a été conduite en collaboration avec Sam Curry, déjà connu pour des travaux similaires sur d'autres constructeurs.