La filiale logicielle automobile de Volkswagen, Cariad, a été touchée par une fuite de données de près de 800 000 véhicules électriques suite à la mauvaise configuration de ses applications. Il s’agit d’une situation étendue sur plusieurs mois.
- Une mauvaise configuration des applications de Cariad, filiale de Volkswagen, a exposé les données de géolocalisation de 460 000 véhicules électriques sur un total de 800 000 touchés
- La fuite, découverte par le Chaos Computer Club, permettait de suivre les déplacements des conducteurs avec une précision allant jusqu’à dix centimètres
- Cariad a corrigé la faille après notification, affirmant qu’aucune donnée sensible n’a été exploitée ni utilisée pour accéder aux véhicules
Les informations stockées sur le cloud Amazon permettent d’identifier les conducteurs de ces véhicules électriques et de suivre leurs déplacements avec précision. C’est la seconde grosse fuite de données pour un constructeur automobile après celle qui a frappé Peugeot.
400 000 véhicules Volkswagen pouvaient être suivies à la trace
L’incident touche les véhicules électriques des marques VW, Seat, Audi et Skoda. Sur les 800 000 modèles touchés, 460 000 ont vu leurs données de géolocalisation exposées avec une précision de dix centimètres pour certains d’entre eux. D’autres ont une précision moindre de l’ordre de dix kilomètres.
C’est le Chaos Computer Club (CCC), plus importante organisation de hackers éthiques en Europe, qui a repéré la vulnérabilité puis informé Cariad, le 26 novembre. Le magazine allemand Spiegel s’est associé à une équipe d’experts informatiques pour démontrer la gravité de la fuite en retrouvant les données de géolocalisation des véhicules de politiques allemands, Nadja Weippert et Markus Grübel.
La répartition géographique des véhicules touchés se concentre en Allemagne mais d’autres pays, dont la France, sont touchés par cette fuite majeure :
- Allemagne : 300 000 véhicules touchés
- Norvège : 80 000 véhicules touchés
- Suède : 68 000 véhicules touchés
- Royaume-Uni : 63 000 véhicules touchés
- Pays-Bas : 61 000 véhicules touchés
- France : 53 000 véhicules touchés
- Belgique : 68 000 véhicules touchés
- Danemark : 35 000 véhicules touchés
Parmi les véhicules exposés, une centaine appartient à la police de Hambourg en Allemagne. Depuis, Cariad a fermé l’accès aux données le jour où le CCC l’a prévenu. L’entreprise explique que rien n’indique que des personnes aient eu accès à ces données sensibles. La filiale de Volkswagen précise que la faille ne permettait pas d’accéder aux véhicules.
Mais pourquoi le constructeur automobile collecte ces données de géolocalisation ? L’entreprise explique qu’elle en a besoin pour développer de nouvelles fonctionnalités. Par exemple, en étudiant les habitudes de recharge des utilisateurs mais en anonymisant les informations pour optimiser les futures générations de batteries et de logiciels de recharge.
Cariad rappelle que les clients sont en mesure de désactiver cette option de traitement de leurs données. L’entreprise précise qu’elle applique des pratiques strictes en termes de protection comme le stockage séparé des informations, des droits d’accès restrictifs, la pseudonymisation et l’anonymisation des données.
Réagissez à cet article !