Voitures connectées : deux constructeurs piratés avec le mot de passe "admin:admin"

Ce qui s'est passé

Le 9 novembre 2026, The Register a publié un rapport détaillant une vulnérabilité critique découverte par les chercheurs Sam Curry et Shubham Shah dans les systèmes d'authentification de deux constructeurs automobiles non nommés. L'investigation, menée début 2026 et publiée après correction complète, révèle comment les chercheurs ont pu prendre le contrôle complet de véhicules connectés — déverrouillage des portes, démarrage du moteur à distance, géolocalisation en temps réel — en exploitant une combinaison de mauvaises pratiques de configuration basiques sur des serveurs accessibles depuis internet.

Le vecteur d'attaque initial est d'une simplicité déconcertante : les deux constructeurs utilisaient la solution de gestion des identités ForgeRock (désormais intégrée à la suite Ping Identity Access Management) pour leurs applications mobiles clients. Ces serveurs d'identité, exposés directement sur internet pour permettre aux applications mobiles de s'authentifier, conservaient activées leurs consoles d'administration avec les identifiants par défaut du fabricant — "admin:admin". Un accès qui, en théorie, ne devrait jamais subsister en environnement de production.

Mais l'accès à la console d'administration seule n'aurait pas suffi. Les chercheurs ont dû franchir une première barrière : un Web Application Firewall (WAF) censé protéger les endpoints d'administration des accès non autorisés. Ils y sont parvenus en utilisant une technique de path confusion — une manipulation des chemins d'URL qui exploite des incohérences dans la façon dont le WAF et le serveur backend interprètent les requêtes entrantes. En ajoutant des segments de chemin spéciaux (segments encodés, caractères de traversée de répertoire), ils ont réussi à atteindre des endpoints administratifs normalement filtrés par le WAF.

Une fois l'accès à la console obtenu avec les credentials par défaut, les chercheurs ont pu exécuter du code arbitraire sur le serveur d'identité en production. Selon Mallory.ai, qui a documenté la chaîne d'exploitation en détail, l'attaque a permis une Remote Code Execution (RCE) directement sur le serveur ForgeRock. À partir de là, le chemin vers le contrôle des véhicules était ouvert : les serveurs d'identité gèrent les tokens d'authentification utilisés par les applications mobiles pour envoyer des commandes aux véhicules via les APIs constructeurs.

Les chercheurs ont démontré que depuis n'importe quel compte client légitime — ou depuis une prise de contrôle de compte d'un tiers — il était possible d'envoyer des commandes aux véhicules associés. L'exploitation a été volontairement limitée à des véhicules et comptes basés aux États-Unis. Selon CyberNews et GBHackers, les chercheurs ont pu déverrouiller les portes, démarrer le moteur, klaxonner à distance, et obtenir la position GPS en temps réel des véhicules ciblés.

L'ampleur potentielle reste difficile à évaluer précisément sans connaître l'identité des constructeurs concernés. Conformément aux pratiques de divulgation responsable, les deux marques n'ont pas été rendues publiques par les chercheurs. Selon les sources disponibles, aucune indication n'a été fournie sur le nombre de véhicules potentiellement affectés, ni sur d'éventuelles preuves d'exploitation malveillante avant la découverte des chercheurs. Les deux constructeurs ont corrigé la vulnérabilité dans les deux heures suivant la réception du rapport et ont effectué une rotation complète des credentials compromis.

Sam Curry et Shubham Shah sont connus dans la communauté de la sécurité pour leurs précédentes recherches sur les vulnérabilités des véhicules connectés — notamment leurs travaux publiés entre 2022 et 2024 sur les APIs téléphoniques de plusieurs grands constructeurs (Kia, Honda, Acura, Nissan, Genesis, entre autres), qui avaient également révélé des failles permettant le contrôle à distance de fonctions véhicule. Cette nouvelle divulgation confirme que le problème des credentials par défaut dans les backends automobile reste systémique.

Du côté de la prévention, les guides de durcissement officiels de Ping Identity indiquent explicitement que la console d'administration ForgeRock doit être désactivée en production ou protégée par un réseau d'accès restreint (VPN, liste blanche IP stricte), et que les credentials par défaut doivent être impérativement remplacés lors du déploiement initial, avant toute mise en production. Ces recommandations, pourtant disponibles depuis des années, n'avaient visiblement pas été suivies par les deux constructeurs concernés.

Pourquoi c'est important

La vulnérabilité découverte par Curry et Shah illustre un paradoxe fondamental de la sécurité des véhicules connectés : l'industrie automobile consacre des ressources considérables à la sécurité des communications sans fil embarquées (Bluetooth, V2X, cellulaire 4G/5G), des unités de contrôle électronique (ECU) et des interfaces OBD-II, mais néglige parfois les fondamentaux de la sécurité des APIs et des plateformes d'identité côté infrastructure cloud. Un mot de passe par défaut non changé — une erreur de configuration basique couverte par les CIS Controls depuis plus d'une décennie — suffit à compromettre potentiellement des millions de véhicules connectés.

L'industrie automobile est en pleine transition vers des architectures Software-Defined Vehicle (SDV), où la majeure partie des fonctionnalités du véhicule est contrôlable et mise à jour via des APIs cloud et des communications OTA (Over-The-Air). Cette architecture, qui apporte une flexibilité et des possibilités de mise à jour considérables, multiplie également la surface d'attaque : chaque endpoint API, chaque serveur d'identité, chaque microservice cloud devient un point d'entrée potentiel. La sécurisation de cette infrastructure doit être traitée avec la même rigueur que celle des systèmes embarqués critiques de sécurité fonctionnelle (AUTOSAR, ISO 26262).

Du point de vue réglementaire, l'Union Européenne a rendu obligatoire le règlement UNECE WP.29 (R155) pour tous les nouveaux types de véhicules vendus en Europe depuis juillet 2024. Ce règlement impose aux constructeurs de mettre en place un Système de Management de la Cybersécurité (CSMS), incluant une gestion des risques sur toute la chaîne de valeur numérique — y compris les backends cloud, les plateformes d'identité et les APIs tierces. L'incident illustre que la conformité réglementaire déclarative ne garantit pas l'absence de failles si les pratiques opérationnelles de base ne sont pas maîtrisées au niveau des équipes déploiement.

Pour les propriétaires de véhicules connectés, cet incident soulève une question légitime sur la confiance à accorder aux systèmes de démarrage à distance et de déverrouillage mobile. Ces fonctionnalités, intégrées dans la quasi-totalité des véhicules neufs vendus depuis 2020, reposent sur des chaînes de confiance complexes impliquant constructeurs, fournisseurs de plateforme identity, opérateurs télécom et fabricants d'appareils mobiles. Une défaillance à n'importe quel maillon de cette chaîne peut avoir des conséquences physiques directes — vol de véhicule facilité, atteinte à la vie privée via la géolocalisation, et dans les cas les plus extrêmes, risques pour la sécurité des occupants.

Ce qu'il faut retenir

• Deux constructeurs automobiles ont exposé leurs serveurs ForgeRock avec les credentials par défaut "admin:admin", permettant une RCE puis le contrôle à distance de véhicules connectés — déverrouillage, démarrage, géolocalisation.
• La chaîne d'exploitation combine path confusion contre le WAF + credentials par défaut + RCE sur le serveur d'identité : accessible à tout attaquant motivé disposant d'une connaissance basique de ForgeRock.
• Pour les RSSI de l'industrie automobile et de tout secteur IoT : auditez vos consoles d'administration exposées, changez systématiquement les credentials par défaut, isolez les interfaces admin derrière un VPN ou une liste blanche IP stricte.