Fuite des données de localisation de 800 000 voitures électriques

Le Spiegel, afin de vérifier la nouvelle, a réussi, avec un groupe de hackers, à retracer les déplacements en voiture de deux hommes politiques.

Photo: Spiegel

Par: Eleonora Lilli

3 Jan 2025 à 12:00

Pendant plusieurs mois, l'entreprise de logiciels Cariad aurait laissé exposées les données de localisation de quelque 800 000 voitures électriques du groupe Volkswagen en Europe. La nouvelle est rapportée par le Spiegel allemand, qui a appris la faille de sécurité par une source anonyme.

Afin de vérifier sa crédibilité, le Spiegel a collaboré avec un groupe de pirates informatiques qui ont ainsi réussi à retracer les déplacements en voiture d'un membre du Comité de défense allemand, qui s'est rendu à la maison de retraite de son père puis à la caserne où il travaille, et d'un maire, qui s'est rendu de l'hôtel de ville au cabinet de son physiothérapeute.

Ce que les pirates ont fait

La publication affirme également avoir trouvé plusieurs téraoctets de données accessibles dans le stockage en nuage d'Amazon, y compris la localisation précise de 460 000 véhicules électriques (de marque Volkswagen, Audi, SEAT et Skoda) qui pourraient permettre de tirer des conclusions sur la vie privée de leurs propriétaires.

Des informations ont été trouvées sur 35 voitures électriques du parc automobile de la police de Hambourg, d'autres hommes politiques, des entrepreneurs, des employés des services fédéraux et des chauffeurs de la base aérienne de Ramstein de l'armée de l'air américaine.

Le groupe de pirates informatiques, appelé Chaos Computer Club, a informé Cariad de la vulnérabilité, qui a rapidement corrigé le problème.

Ce qui s'est passé ensuite

Cariad a déclaré au Spiegel qu'il s'agissait d'une "mauvaise configuration" et que l'entreprise ne combinait pas de données permettant d'établir le profil d'une personne.

Selon l'entreprise, les chercheurs ont dû combiner plusieurs ensembles de données "en contournant de multiples mécanismes de sécurité" et ont également déclaré qu'ils ne savaient pas si quelqu'un d'autre qu'elle avait accès aux données.