La localisation de 800 000 voitures électriques du groupe VW a été divulguée en raison d'une faille logicielle.
En raison d'une faille de sécurité de l'éditeur de logiciels Cariad, les données de localisation de 800 000 voitures électriques du groupe VW en Europe ont été exposées au public sur l'internet pendant plusieurs mois. Un informateur a signalé la faille à l'association européenne de pirates informatiques Chaos Computer Club (CCC) et au média allemand Spiegel, qui a relié les informations à d'autres données personnelles telles que le nom du propriétaire.
Ce que nous savons
Le logiciel problématique était installé sur des voitures des marques Volkswagen, Audi, SEAT et Skoda.
La vulnérabilité du logiciel a permis aux journalistes de suivre avec une grande précision les déplacements des deux hommes politiques allemands. Il a notamment été possible d'établir que le membre du comité de défense allemand se rendait dans la maison de retraite de son père et qu'il se rendait également dans des unités militaires. Le Spiegel a également établi le profil de la maire, dont la voiture a recueilli des données sur ses déplacements, de la mairie où elle travaillait jusqu'à un kinésithérapeute.
La publication a déclaré avoir trouvé plusieurs téraoctets de données sur les véhicules dans le stockage en nuage d'Amazon. Ces informations ont permis de tirer des conclusions sur la vie des propriétaires de voitures électriques. Outre des informations sur des utilisateurs privés, les journalistes ont trouvé des données sur 35 voitures électriques de la police de Hambourg, d'autres hommes politiques, des dirigeants d'entreprise, des employés des services de renseignement allemands et des conducteurs de la base aérienne de Ramstein de l'armée de l'air américaine.
Le groupe de pirates informatiques CCC a informé Cariad de la vulnérabilité. La société de développement a rapidement corrigé le problème.
Cariad a déclaré au Spiegel qu'il s'agissait d'une "mauvaise configuration" et que l'entreprise n'agrégeait pas de données permettant de créer un profil sur une personne. Selon l'entreprise, les chercheurs ont dû fusionner différents ensembles de données, "en contournant plusieurs mécanismes de sécurité". Elle a également déclaré qu'à sa connaissance, personne d'autre que la CCC n'avait accès aux données en question.
Sources : Spiegel, Chaos Computer Club : Spiegel, Chaos Computer Club
