Comment un système de sécurité installé par le concessionnaire a rendu deux millions de voitures vulnérables aux voleurs

J'ai récemment passé un après-midi dans un centre commercial de banlieue avec un analyseur de spectre portable et un smartphone exécutant une application spécialisée dans la découverte Bluetooth. La plupart des gens voient une mer de verre et d'acier lorsqu'ils regardent un parking. Je vois un maillage chaotique de publicités Bluetooth Low Energy (BLE). Parmi les trackers de fitness habituels et les écouteurs sans fil, j'ai remarqué une chaîne d'identification récurrente qui ne correspondait à aucun appareil électronique grand public standard. Du point de vue du risque, c'est l'équivalent numérique de trouver une porte verrouillée et sans marquage dans un couloir public. Vous ne savez pas ce qu'il y a derrière, mais vous savez que cela ne devrait probablement pas être là.

Cette curiosité est ce qui a conduit des chercheurs de l'Université de Californie à San Diego (UCSD) à découvrir une vulnérabilité qui affecte plus de 2,2 millions de véhicules. Le paradoxe architectural est frappant. Les concessionnaires vendent ces systèmes après-vente pour offrir une tranquillité d'esprit et prévenir le vol. En réalité, le matériel introduit une vulnérabilité systémique qui permet à un acteur malveillant doté d'un simple smartphone de déverrouiller les portes ou de désactiver un moteur à cinq mètres de distance. Le modèle de sécurité attendu est un bouclier pour le propriétaire. L'exploitabilité réelle est un passe-partout pour un attaquant.

Le matériel fantôme caché dans votre colonne de direction

De nombreux propriétaires de véhicules ignorent que leur voiture contient ces modules. Les appareils en question sont les systèmes de sécurité KARR et les modules SWDS fabriqués par Acrisure. Il ne s'agit pas de composants d'usine installés par Ford, Toyota ou Honda. Au lieu de cela, les concessionnaires les installent comme outils de gestion d'inventaire. Ces modules permettent aux concessionnaires de suivre les voitures sur le parc et de s'assurer qu'elles restent sécurisées avant une vente. Lorsqu'un client achète la voiture, le concessionnaire essaie souvent de vendre le système comme un module complémentaire antivol haut de gamme.

Si le client refuse la mise à niveau, le concessionnaire ne retire généralement pas le matériel. C'est un processus coûteux qui nécessite un démontage important du tableau de bord et des modifications du câblage d'allumage. Par conséquent, le module reste actif mais dormant dans le tableau de bord. Les chercheurs ont découvert que même lorsqu'un client refuse le service, la radio Bluetooth continue de diffuser. Cela crée une surface d'attaque omniprésente dont le propriétaire ignore même l'existence. Un véhicule avec un autocollant « KARR » ou « SWDS » sur la vitre est le principal indicateur de ce matériel caché.

Un passe-partout pour deux millions de serrures numériques

La vulnérabilité est un échec classique de mise en œuvre cryptographique. Au niveau architectural, chaque appareil KARR et SWDS utilise la même clé cryptographique identique pour l'authentification Bluetooth. Dans le monde de la sécurité de l'information, c'est un péché capital. C'est l'équivalent d'une chaîne hôtelière utilisant la même clé maîtresse physique pour chaque porte de chambre d'amis dans chaque ville. Une fois qu'un attaquant récupère la clé d'un appareil, il possède la clé des 2,2 millions d'appareils.

Les chercheurs de l'UCSD ont procédé à une rétro-ingénierie du système pour extraire cette clé partagée. Avec ce secret en main, ils ont construit un outil qui permet à n'importe quel appareil compatible Bluetooth de s'authentifier en tant qu'utilisateur légitime. L'attaque est furtive car elle ne nécessite pas une chaîne d'exploitation complexe ou une faille « zero-day » dans le système d'exploitation du téléphone. Elle utilise simplement le protocole exactement comme il a été conçu, mais avec un identifiant compromis qui aurait dû être unique à chaque voiture. Un attaquant à portée peut déverrouiller les portes à distance, faire clignoter les phares ou klaxonner. Plus important encore, il peut déclencher la fonction « starter kill » (coupe-circuit). Bien qu'il ne puisse pas démarrer la voiture et partir avec en utilisant uniquement cette faille, il peut effectivement immobiliser le véhicule ou obtenir un accès physique facile à l'intérieur pour effectuer un vol mécanique.

La découverte accidentelle d'un risque systémique

Le chemin vers cette découverte a commencé en 2018 lors d'un projet complètement différent. L'équipe de l'UCSD scannait les stations-service à la recherche de skimmers de cartes de crédit compatibles Bluetooth. Ces skimmers permettent aux criminels de récolter les données des cartes à partir des lecteurs de pompes et de les récupérer sans fil. Au cours de ces scans, les chercheurs ont continué à voir les mêmes balises BLE non identifiées dans les parkings. Leur curiosité s'est transformée en une enquête médico-légale de plusieurs années sur la source de ces signaux.

Ils ont finalement tracé les signaux jusqu'aux modules KARR et SWDS. De manière proactive, l'équipe a passé des années à vérifier l'ampleur du problème avant de le rendre public. Ils ont identifié que les véhicules concernés sont principalement concentrés dans le sud de la Californie, mais sont désormais répartis à travers les États-Unis, le Canada et le Japon en raison du marché de l'occasion. Cela souligne le risque à long terme du matériel automobile après-vente. Lorsqu'une voiture est revendue, le nouveau propriétaire n'a aucune idée qu'il hérite d'un module radio vulnérable installé par le concessionnaire.

Suivi des véhicules via des fuites de données publiques

La menace ne se limite pas aux attaques de proximité. Au cours de l'enquête, les chercheurs ont découvert que des bases de données accessibles au public exposent les informations de localisation de nombreux véhicules équipés de ces systèmes. Cela transforme une opportunité aléatoire en une opération ciblée. Un acteur malveillant pourrait potentiellement croiser ces bases de données pour identifier l'emplacement précis d'un véhicule spécifique.

Du point de vue de l'utilisateur final, il s'agit d'une violation flagrante de la vie privée. Le système qui a été commercialisé comme un moyen de protéger le véhicule est en réalité une balise qui diffuse sa position sur Internet. C'est un problème courant avec les appareils après-vente « connectés ». Ils sont souvent construits en mettant l'accent sur la fonctionnalité et le faible coût, tandis que la sécurité et l'intégrité des données sont traitées comme des préoccupations secondaires. La fuite de la base de données signifie qu'un attaquant n'a pas besoin de circuler en cherchant des autocollants KARR. Il lui suffit de télécharger une liste de cibles et de planifier son itinéraire.

Attaques par rejeu et modules Rockledge

Les chercheurs ont également examiné des systèmes similaires d'un concurrent appelé Rockledge. Alors que les systèmes KARR souffrent du problème de clé partagée, les systèmes Rockledge semblent vulnérables à une attaque par rejeu. Dans ce scénario, un attaquant intercepte le signal Bluetooth légitime envoyé par le téléphone du propriétaire à la voiture. Il enregistre ce signal et le rejoue plus tard pour effectuer la même action.

Ce type d'attaque est comme un magnétophone numérique. Si la communication n'est pas protégée par des « codes tournants » ou des jetons sensibles au temps, la voiture ne peut pas faire la différence entre la commande originale et l'enregistrement. Rockledge n'a pas encore répondu aux conclusions des chercheurs. Ce manque de communication rend difficile la validation de l'étendue de la vulnérabilité, mais cela sert d'avertissement pour quiconque utilise des systèmes de véhicules similaires contrôlés par smartphone.

Étapes pratiques pour les propriétaires de véhicules

Acrisure a publié une mise à jour du micrologiciel le 20 juillet 2026 pour remédier à la vulnérabilité de la clé partagée. C'est une étape positive, mais le déploiement du correctif est problématique. Contrairement à une Tesla moderne ou à un smartphone, ces modules ne prennent pas toujours en charge les mises à jour transparentes à distance (OTA). Les propriétaires doivent utiliser l'application mobile KARR pour pousser la mise à jour vers le matériel situé dans leur tableau de bord.

Si vous possédez un véhicule acheté chez un concessionnaire au cours des neuf dernières années, vous devriez vérifier la présence de ces systèmes. Recherchez des autocollants sur la vitre côté conducteur ou un petit module en plastique avec une lumière LED dissimulé sous le tableau de bord près de la colonne de direction. Le colmatage des brèches dans la coque d'un navire n'est efficace que si l'équipage sait que la coque fuit. De nombreux propriétaires n'entendront jamais parler de cette vulnérabilité et continueront à conduire des véhicules vulnérables pendant des années.

Points clés à retenir pour les consommateurs

• Vérifiez votre matériel : Consultez votre contrat d'achat ou recherchez la marque KARR/SWDS sur vos vitres ou vos porte-clés.
• Mettez à jour le micrologiciel : Si vous avez l'application KARR, assurez-vous d'utiliser la dernière version et suivez les instructions pour mettre à jour le module du véhicule.
• Demandez le retrait ou la désactivation : Si vous n'utilisez pas les fonctions antivol, demandez à un mécanicien de confiance si le module peut être déconnecté en toute sécurité. Notez que cela peut nécessiter de recâbler le système d'allumage.
• Auditez les ajouts du concessionnaire : Lors de l'achat d'une voiture neuve ou d'occasion, posez spécifiquement des questions sur les modules de suivi ou de sécurité après-vente et demandez leur retrait si vous n'en voulez pas.

Du point de vue du risque, la configuration la plus sûre est une surface d'attaque plus petite. Chaque radio supplémentaire et chaque module tiers est un point d'entrée potentiel pour un attaquant. Dans le cas de KARR et SWDS, l'élément même censé assurer la sécurité de la voiture est devenu sa plus grande faiblesse.

Sources :

• NIST National Vulnerability Database (NVD)
• UC San Diego Department of Computer Science and Engineering Research Papers
• USENIX Security Symposium Proceedings 2026
• DEF CON 34 Presentation Materials
• National Highway Traffic Safety Administration (NHTSA) Safety Disclosures

Avertissement : Cet article est fourni à des fins d'information et d'éducation uniquement. Il ne remplace pas un audit professionnel de cybersécurité ou les conseils officiels des constructeurs de véhicules et des centres de service agréés.