Produits et services Central

Cybermenaces pour l'industrie automobile européenne (1re partie) : voitures connectées et IoT

L'information est un capital très fragile et exposé à toutes sortes de risques. Ainsi, il ne se passe pas une journée sans que des salariés ou partenaires ne divulguent des données confidentielles. Souvent par accident, parfois par malveillance. Dans un monde hyperconnecté où l'Internet des objets (IoT) est en pleine convergence, n'importe quel appareil ou utilisateur devient une cible potentielle. Conscients de ces dangers, les pouvoirs publics ont durci le ton, comme en témoigne l'entrée en vigueur du RGPD. La réduction des risques et vulnérabilités de certaines données n'est donc plus seulement un impératif économique, mais aussi une obligation juridique.

Pour mener à bien ses opérations, la filière automobile s'appuie sur l'échange continuel de données sensibles. Or, la transmission d'informations, surtout entre différents réseaux, accroît les risques pour la cybersécurité. L'information est le poumon de toute organisation, peu importe sa taille. Et qui dit information dit responsabilité. Responsabilité de préservation de l'information elle-même, de connaissance de l'emplacement exact des données confidentielles sur le réseau, de contrôle des destinations d'envoi et d'application d'une politique de gestion adaptée. Pour protéger l'information, les entreprises doivent impérativement trouver le point d'équilibre entre obligations réglementaires et exigences métiers.

La majorité des constructeurs automobiles ont mis en place des mesures de sécurité du réseau et de l'information. Ces efforts visent à protéger leurs systèmes contre toute dégradation, fuite ou altération volontaire ou accidentelle de données client ou propriétaires. Le but ultime est de maintenir la continuité de leurs activités. Fuites, informations erronées, confidentialité, intégrité, validité des informations client et métiers... la sécurité de l’information couvre un domaine très vaste.

En cybersécurité, l'objectif consiste à assurer une protection maximale de toute l'infrastructure IT (matériels, logiciels et données, en stockage comme en transit) contre tout dommage, fuite, altération ou interruption des activités. Toutefois, les récentes innovations dans l'industrie automobile font émerger de nouveaux risques.

IoT, voitures connectées, conduite autonome... le marché de l'automobile s'est modernisé, s'est flexibilisé et s'est automatisé à vitesse grand V. Des véhicules eux-mêmes jusqu'à la logistique, en passant par les lignes de production et les chaînes de valeur, toutes les grandes composantes de l'écosystème automobile connaissent de profondes transformations. Mais si, au premier abord, ces changements apportent un réel progrès, ils ouvrent aussi un nouveau champ d'opportunités pour les cybercriminels. Début 2015, des chercheurs en sécurité sont parvenus à exploiter les failles du système de contrôle d'un véhicule pour y introduire un code malveillant capable d'influencer sa conduite.

Les investigateurs FireEye ont par ailleurs observé les activités de groupes étatiques à l'encontre de l'industrie automobile européenne. Ce n'est donc qu'une question de temps avant que ces attaquants jettent leur dévolu sur nos voitures connectées. Avec la complexification et la connectivité croissantes des technologies embarquées, les véhicules vont se retrouver de plus en plus exposés.

Mais ces risques ne devraient pas pour autant faire oublier l'énorme potentiel des applications IoT pour l'industrie automobile. Du verrouillage à la gestion des révisions, en passant par la géolocalisation des véhicules, les objets connectés révolutionnent les business models et multiplient les usages à un rythme exponentiel. Pour les constructeurs, l'IoT représente un vivier d'opportunités dans la conception de véhicules à usage privé et commercial.

La perte de données confidentielles est un risque auquel toute organisation est confrontée et la filière automobile n'est évidemment pas épargnée. Elle fait même face à un nombre croissant de menaces. Avec l'essor rapide de la connectivité à Internet, nous avons fait un bond en avant sur tous les fronts : communication, partage, praticité... avec des retombées sur la croissance. Mais là encore, ces développements entraînent un risque de prise de contrôle à distance qui peut se décliner sous plusieurs formes : verrouillage et déverrouillage du véhicule, détournement de systèmes allant des phares à l'ABS, manipulation de capteurs conçus pour détecter les piétons ou les autres voitures, etc.

L'histoire de l'automobile est une succession d'innovations visant à simplifier la vie des automobilistes. Les plus âgés d'entre nous se souviendront de l'enthousiasme qu'avait suscité l'arrivée des vitres électriques sur les véhicules de série. Plus près de nous, les systèmes d'entrée sans clé contrôlés par smartphone sont incroyablement pratiques, mais aussi plus vulnérables aux attaques. Pas seulement pour accéder physiquement au véhicule, mais aussi pour les exploiter selon des scénarios dignes de films d'horreur. En 2015, des chercheurs avaient déjà démontré qu'il était possible de pirater un véhicule à distance pour manipuler son système de chauffage. De là à prendre totalement le contrôle d'une voiture en mouvement, il n'y a qu'un pas. On imagine alors les conséquences possibles pour les conducteurs comme pour les piétons. À l'avenir, l'idée que les capteurs de véhicules plus autonomes (en pilote automatique) puissent être trafiqués fait encore plus froid dans le dos.

La course aux voitures autonomes étant lancée pour les grands acteurs de l'automobile, il est fort probable que l'ensemble de la filière devienne une cible de choix pour les groupes cyber. Le cyberespionnage devrait ainsi connaître une forte recrudescence. L'objectif ? Faire main basse sur des données R&D dans différents buts (gains financier, perturbation des travaux de recherche, sabotage, etc.). Pour les hackers à la solde d'un État, l'ambition peut être de créer une instabilité économique ou politique. Même à petite échelle, les attaques visant des véhicules connectés pourraient servir ces objectifs.

Avec la connectivité des véhicules via leurs systèmes de navigation et l'IoT, les cybercriminels ne manqueront sûrement pas de mettre leurs talents à profit pour en tirer un avantage concurrentiel ou financier, ou tout simplement pour déstabiliser un rival. L'impact potentiellement physique de telles attaques sur les automobilistes ou les piétons fait par ailleurs l'objet de préoccupations majeures. Pour remplir son devoir de protection des personnes, l'industrie automobile se doit d'améliorer les mesures de sécurité, non seulement en production, mais aussi pendant toute la durée de vie des véhicules.

Pour FireEye, ces mesures doivent s'accompagner d'un travail minutieux de cyber-renseignement et d'une expérience des combats de première ligne.

À chaque instant, FireEye reste présent sur le front de la sécurité. C’est grâce aux connaissances ultra pointues de nos experts que nous développons les meilleures technologies du marché. L'ensemble de nos solutions et services fournit à nos équipes produits une boucle de feedback permanente. La technologie ne peut à elle seule combattre les cybermenaces. C’est pourquoi FireEye allie technologie et expertise humaine au sein d'un cycle d’innovation unique. Objectif : améliorer sans cesse ses solutions, à un rythme et un niveau de sophistication sans équivalent sur le marché. Grâce à notre connaissance temps réel des menaces en présence, nos clients bénéficient d'un niveau de protection optimal en permanence. Quant à notre expertise de première ligne, elle alimente sans cesse le développement de nos produits, notre Threat Intelligence et le travail de nos équipes de prévention et de réponse à incident.

Avec nos services Advanced Threat Protection, FireEye Mandiant Consulting Red Team et Compromise Assessment avec FireEye Threat Intelligence, les constructeurs automobiles sont mieux armés pour contrer efficacement les attaquants.

Lis Cybermenaces pour l'industrie automobile européenne (2e partie).