Des chercheurs ont découvert une faille de sécurité sur les comptes Tesla. Elle permet d’ouvrir et démarrer les voitures depuis son mobile, mais pas que. D’autres petits appareils faciles à se procurer peuvent servir à la manœuvre.
La Tesla Model 3
Cette fois-ci, ce sont deux chercheurs en cybersécurité, Talal Haj Bakry et Tommy Mysk, qui font part de la leur. Ils ont réussi à mener avec succès une attaque de type man-in-the-middle à l’aide d’un Flipper Zero, cet appareil qui faisait planter les iPhones à distance fin 2023. La faille est cependant exploitable avec un smartphone Android ou un Raspberry Pi par exemple. Elle fonctionne sur la dernière version en date de l’application Tesla, numérotée 4.30.6, et celle du logiciel Tesla, la 11.1 2024.2.7.
Voler une Tesla ne nécessite qu’un smartphone ou un appareil de type micro-ordinateur
L’idée est la suivante. Le pirate se trouve dans une station Superchargeur de Tesla. À l’aide de son appareil, il déploie un faux réseau Wi-Fi nommé Tesla Guest, très courant dans les centres Tesla et connu par les propriétaires de voitures de la marque. En s’y connectant, la victime donne ses identifiants au hacker, qui demande un mot de passe unique afin d’éviter l’authentification à double facteur. Avant l’expiration de ce mot de passe, il se connecte au compte du conducteur et peut suivre la Tesla à la trace.
Quand il assez proche, le pirate n’a plus qu’à demander l’ajout d’une clé téléphone pour enregistrer le sien et contrôler la voiture comme si elle lui appartenait. Aucune mesure de sécurité n’est demandée et le conducteur principal ne reçoit pas de notification pour l’avertir. Contacté par les deux chercheurs, Tesla a répondu qu’il s’agissait du comportement normal de la fonction, sans préciser si la firme comptait le modifier pour le rendre plus sécurisé. Vous pouvez voir la démarche dans la vidéo ci-dessous ciblant une Model 3, pourtant l’une des voitures les moins volés aux États-Unis.
