Kia: une faille de sécurité permettait à des hackers de pirater les véhicules en moins de 30 secondes

Une faille informatique permettait à des pirates de déverrouiller et de démarrer des véhicules Kia à distance à partir d'un simple numéro d'immatriculation. La vulnérabilité a depuis été corrigée.

Contrôler une voiture en 30 secondes. Le tout, à distance. C'est ce que permettait une faille de sécurité repérée sur les voitures Kia (groupe Hyundai). Des chercheurs en cybersécurité ont ainsi découvert plusieurs failles dans "la quasi-totalité des véhicules Kia fabriqués après 2013", précise un rapport redu public le 26 septembre dernier.

Concrètement, les vulnérabilités auraient pu permettre à des pirates de contrôler à distance certaines fonctions essentielles des voitures du constructeur.

Un piratage en 30 secondes

"Ces attaques pouvaient être effectuées à distance sur les derniers véhicules de marque Kia en environ 30 secondes, que l’abonnement Kia Connect soit actif ou non", détaille le rapport.

Il suffisait aux hackers d'obtenir le numéro d'immatriculation de la voiture à pirater. Ils n'avaient plus qu'à créer un faux compte dans le portail dédié aux concessionnaires Kia et taper quelques lignes de code pour obtenir le nom, le numéro de téléphone et l’adresse mail du propriétaire.

Une fois ces informations obtenues, le cybercriminel pouvait ainsi changer l’adresse mail du propriétaire pour s’enregistrer comme nouveau détenteur du véhicule. De quoi permettre aux pirates de déverrouiller la voiture, de la démarrer ou de la suivre à distance... sans laisser la moindre trace. Du côté de la victime, aucune notification n’était envoyée pour signaler que l’automobile a été piratée.

Plus inquiétant, cette méthode fonctionnait également sur les voitures dépourvues d'un abonnement Kia Connect actif, le service qui permet de connecter une Kia à un smartphone pour bénéficier de fonctionnalités supplémentaires.

La faille a été signalée à Kia en juin 2024. Depuis, le constructeur automobile a déployé un correctif. De son côté, Kia a confirmé que la faille n'avait pas été exploitée à des fins malveillantes.

Ce n'est pas la première fois que le constructeur est concerné par une faille de sécurité. En février 2023, des utilisateurs avaient lancé le "Kia Challenge" sur Tiktok. L'objectif? Tenter de voler un véhicule du groupe Hyundai à l'aide d'une clé USB.

Salomé Ferraris