2,2 millions de voitures peuvent être déverrouillées à distance à cause de ce système antivol

Des millions d’automobilistes américains se sont vu vendre un équipement censé dissuader les voleurs. Des chercheurs viennent de démontrer que ce boîtier produit exactement l’effet inverse. Beaucoup de propriétaires ignorent même qu’il se trouve sous leur tableau de bord.

Les voitures modernes multiplient les équipements électroniques reliés au smartphone du conducteur, et chaque module ajouté crée un point d’entrée supplémentaire pour un attaquant. Le phénomène dépasse largement l’automobile. HP a recensé des attaques qui détournent des logiciels de confiance pour se fondre dans l’activité normale. Les accessoires vendus en complément d’un produit échappent souvent aux contrôles du fabricant. Personne ne surveille vraiment leur niveau de protection.

Le boîtier antivol KARR équipe justement des millions de voitures américaines à l’insu de leurs propriétaires. Les concessionnaires l’installent avant la vente pour suivre leur stock, puis le proposent comme option de protection. La logique rappelle celle des grandes campagnes de piratage. CypherLoc part par exemple d’un simple e-mail de phishing pour piéger un très large public. L’appareil reste branché même quand le conducteur ne paie aucun abonnement.

Le boîtier antivol KARR utilise le même code secret dans toutes les voitures équipées

Le boîtier KARR pose donc un problème de conception. Selon les travaux publiés par l’université de Californie à San Diego, tous ces appareils partagent le même code de sécurité. Le principe revient à donner la même combinaison à tout un parc de serrures, sans laisser au propriétaire la moindre possibilité de la modifier. Un individu placé à moins de cinq mètres peut alors déverrouiller les portes du véhicule. Il peut aussi actionner le klaxon ou bloquer le démarrage d’un moteur à l’arrêt. Au moins 2,2 millions de voitures seraient touchées.

Les véhicules visés ont été achetés depuis 2017 dans le sud de la Californie. Les concessions Honda, Toyota, Mazda, Ford et Jeep sont concernées. Un autocollant KARR ou SWDS sur la vitre côté conducteur trahit leur présence. Un petit boîtier clignotant sous la planche de bord constitue un autre indice. Acrisure a diffusé un correctif le 20 juillet. Le propriétaire doit l’installer lui-même via l’application. Beaucoup de conducteurs ignorent purement et simplement que ce matériel a été monté sur leur voiture. Le fabricant estime de son côté que seule une faible partie du parc serait exposée. Aucun cas n’a été signalé en Europe, ce dispositif étant réservé à un réseau de revendeurs américains.