Gareth Fraser-King – Director, Product Marketing EMEA – FireEye
Véhicules connectés et Internet des objets
La vulnérabilité des informations et les cyber risques prennent des formes toujours plus nombreuses. Les fuites de données involontaires ou malintentionnées du fait d’employés ou de partenaires sont désormais chose courante. Quasiment tout contenu, tout objet ou toute personne est devenue une cible potentielle dans le monde connecté d’aujourd’hui. Réduire ces risques et ces vulnérabilités est désormais à la fois un impératif de gestion et une obligation légale alors que de récentes réglementations (RGPD par exemple) imposent aux entreprises de protéger certains types d’informations.
Les constructeurs automobiles doivent gérer de nombreux échanges de données sensibles ; les transmissions d’informations, spécialement les transmissions entre différents réseaux, entraînent une augmentation des risques de cyber sécurité. Quelle que soit sa taille, toute organisation possède une chose en commun : des informations. Et qui dit information dit responsabilité. Les organisations doivent protéger les informations elles-mêmes, avoir une bonne visibilité sur le lieu où résident les données confidentielles sur leur réseau, avoir une influence sur la direction que prennent ces données, et mettre en place une politique pour les gérer. De ce fait, une stratégie qui tient compte à la fois des besoins légaux et de gestion de l’organisation est devenue vitale.
La plupart des entreprises du secteur automobile ont investi dans des solutions de sécurité des données et du réseau afin de protéger leurs systèmes de sorte que leurs propres données et celles de leurs clients ne soit pas endommagées, détournées ou altérées par des attaques involontaires ou malintentionnées. Leur objectif central étant de maintenir la continuité de leurs opérations. Ceci implique que le domaine de la sécurité des informations est très large et inclut les fuites, la falsification, la confidentialité, l’intégrité et la validité des informations de ces organisations et de leurs clients.
Le but de la cyber sécurité est d’obtenir une protection complète de l’ensemble de l’infrastructure informatique : garantir que les matériels, les logiciels et les données, à la fois immobiles et en déplacement, ne soient pas endommagés, détournés ou modifiés, et que la continuité des services de l’entreprise soit assurée. Toutefois, de récentes innovations dans l’industrie ont entrainé l’émergence de risques potentiels supplémentaires.
Internet des objets, voitures connectées, conduite autonome : l’industrie automobile a évolué rapidement pour devenir plus moderne, plus flexible et plus automatisée. Les automobiles et les lignes de montage, les chaines de valeur et la logistique ont changé radicalement. Cependant, de nombreux changements qui paraissent positifs à première vue offrent de nouveaux points d’entrée pour des cyber attaquants. Au début de l’année 2015, des analystes de sécurité ont démontré comment des vulnérabilités dans le logiciel de contrôle d’un véhicule pouvaient être exploitées pour introduire du code malicieux et prendre le contrôle de sa direction.
Les enquêteurs de FireEye ont d’ores et déjà observé des acteurs malveillants sponsorisés par des états nations ciblant l’industrie automobile européenne. Ce n’est qu’une question de temps avant que des acteurs malveillants ne réussissent à s’inviter dans nos voitures connectées. La technologie dans les véhicules devenant plus complexe et de plus en plus connectée à Internet, la suite logique est que les voitures deviendront plus vulnérables aux intrusions.
Les connexions des véhicules à Internet sont source de création de valeur pour l’industrie automobile. De la fermeture au suivi des véhicules en passant par la gestion de la maintenance, l’Internet des objets transforme les ‘business models’ dans l’industrie pour tous les types de véhicules, en redéfinissant à un rythme accéléré les modes d’utilisation pour le consommateur. A la fois pour des usages commerciaux et privés, les applications de l’Internet des objets créent des opportunités entièrement nouvelles pour les constructeurs automobiles.
Le risque de perte d’informations confidentielles touche toutes les organisations. Comme d’autres secteurs, l’industrie automobile doit faire face à un éventail de risques croissants. Avec le développement rapide des connexions à Internet, nous avons bénéficié de progrès considérables dans les domaines des communications, du partage des informations, de l’économie et de la croissance, ainsi que de la simplicité d’utilisation. Toutefois, pour l’automobile, ces développements génèrent aussi de nouveaux risques potentiels, touchant par exemple le contrôle d’accès à distance, l’ouverture et la fermeture, et la manipulation de systèmes dans les véhicules allant des phares aux freins, en passant par les capteurs conçus pour détecter des piétons et d’autres voitures.
De nouvelles innovations dans l’industrie veulent dire toujours plus de fonctions développées pour faciliter la vie de l’automobiliste. Cependant, les systèmes de démarrage sans clé, qui peuvent être contrôlés par un téléphone mobile – ou d’autres systèmes d’ouverture à proximité du véhicule, bien que très pratiques, sont vulnérables à des attaques. Et pas uniquement pour obtenir l’accès au véhicule, mais aussi pour prendre le contrôle d’autres systèmes internes. Dès 2015, des chercheurs ont prouvé que des véhicules peuvent être attaqués même à distance pour manipuler les systèmes de chauffage. En allant plus loin, la manipulation de véhicules lorsqu’ils sont en mouvement pourrait créer des dangers désastreux pour leurs conducteurs et les piétons. Et encore pire, la manipulation de capteurs sur des véhicules plus autonomes (en pilotage automatique) pourrait relever encore plus le niveau de risque.
La concurrence faisant rage entre les principaux constructeurs sur le développement de véhicules autonomes, il ne fait guère de doute que les cyber acteurs vont porter un intérêt accru à l’industrie automobile. Le cyber espionnage pourrait augmenter avec l’intention soit de dérober des projets de recherche soit de perturber voire saboter des projets de développement, mais aussi, dès lors que des acteurs sponsorisés par des états nations mènent désormais des actions à des fins de perturbation politique ou économique, même des attaques limitées contre des véhicules connectés pourraient répondre à ces objectifs.
Il est clair qu’avec la connectivité des véhicules via des systèmes de navigation et l’Internet des objets, les opportunités d’attaque de la part des acteurs de cyber menaces pourraient s’accroître, soit pour obtenir des avantages concurrentiels, des gains financiers, ou pour perturber des opérations. De plus, les dangers potentiels auxquels devront faire face les automobilistes comme les piétons sont particulièrement inquiétants en raison des pertes humaines possibles d’une attaque réussie. L’industrie automobile doit donc impérativement renforcer ses mesures de sécurité contre de potentiels attaquants à la fois pendant et après la production des véhicules pour protéger les citoyens contre ces menaces.