Imaginez un instant que votre voiture puisse être contrôlée à distance par un parfait inconnu, juste en connaissant votre plaque d’immatriculation. Un scénario digne d’un film de science-fiction ? Hé bien pas vraiment car c’est exactement ce qui s’est passé avec les véhicules Kia tout récemment.

Tout a commencé le 11 juin 2024, quand une équipe de hackers éthiques a découvert une série de vulnérabilités critiques dans le système des voitures Kia. Ces failles permettaient ni plus ni moins de prendre le contrôle à distance de fonctions clés du véhicule, et ce en utilisant uniquement le numéro de plaque d’immatriculation. Pas besoin d’avoir un gadget high-tech de voleur de bagnole acheté sur Temu, 30 secondes suffisaient pour s’introduire dans le système, et cela que la voiture soit équipée ou non d’un abonnement Kia Connect actif.

En plus de pouvoir jouer les marionnettistes avec votre bolide, les hackers pouvaient également mettre la main sur vos données personnelles : Nom, numéro de téléphone, adresse mail, adresse physique… Bref, de quoi faire baver n’importe quel cybercriminel en manque de données juteuses. L’attaquant pouvait même s’ajouter comme utilisateur invisible du véhicule pour en prendre les commandes plus tard à tout moment.

Afin de démontrer l’ampleur du problème, nos hackers en herbe ont concocté un petit logiciel bien sympathique. Il suffit d’y entrer un numéro de plaque d’immatriculation, d’attendre 30 secondes, et hop ! Vous voilà aux commandes du véhicule. Un jeu d’enfant, mais terriblement efficace.

Mais rassurez-vous, ce joujou diabolique n’a jamais été mis entre de mauvaises mains et les failles ont depuis été colmatées par Kia. Ouf !

Quels véhicules étaient concernés par cette faille de sécurité ? La liste est longue comme le bras : Des Carnival 2025 aux Telluride 2020, en passant par les Sportage, les Sorento et même les petites Soul, c’est pratiquement toute la gamme Kia qui était touchée. Certains modèles permettaient même d’activer la caméra à distance. Big Brother sur roues en somme !

Mais alors comment ça fonctionne ? Et bien tout commence avec le site web de Kia et l’application mobile Kia Connect. Ces deux interfaces permettent aux propriétaires d’interagir à distance avec leur véhicule. Jusque-là, rien d’anormal. Sauf que nos hackers ont découvert une faille dans le système d’authentification et en bidouillant un peu, ils ont réussi à s’authentifier sur le portail des concessionnaires Kia.

Et là, surprise ! Ils ont eu accès à des fonctionnalités normalement réservées aux employés. Recherche de véhicules, consultation de comptes, inscription, désinscription… De quoi hacker en toute tranquillité.

Voici comment se déroulait l’attaque, étape par étape :

1. Génération d’un token d’accès en s’authentifiant sur le portail concessionnaire
2. Récupération des informations personnelles du propriétaire via le numéro de plaque
3. Modification des droits d’accès du propriétaire légitime
4. Ajout de l’attaquant comme propriétaire principal du véhicule

Et voilà le travail ! En quatre coups de cuillère à pot, n’importe qui pouvait prendre le contrôle de votre Kia adorée et voir un tableau de bord avec toutes les informations du véhicule et de son propriétaire. Nom, prénom, adresse, numéro de téléphone… Tout y était ! Et bien sûr, la possibilité d’envoyer des commandes à distance : verrouillage/déverrouillage des portes, démarrage/arrêt du moteur, activation du klaxon et des phares, et même la géolocalisation en temps réel.

Le plus inquiétant dans tout ça, c’est que le propriétaire légitime ne recevait aucune notification. Vous pouviez donc vous faire pirater votre voiture sans même vous en rendre compte.

En tout cas, bravo à Sam Curry, Specters et tous ceux qui ont participé à cette découverte.