[Mise à jour #85]
Fin juillet, des chercheurs de l’université de Californie à San Diego ont révélé une faille de sécurité touchant un système antivol installé sur environ 2,2 millions de véhicules américains — principalement chez des concessionnaires Ford, Jeep, Toyota, Mazda et Honda du sud de la Californie. Leurs travaux, présentés au DEF CON début août puis à la conférence USENIX Security à Baltimore, décrivent un cas d’école : pas un exploit technique sophistiqué, mais une erreur de conception d’une simplicité déconcertante, capable de compromettre un parc automobile entier d’un seul coup.
Une clé unique, partagée par des millions de boîtiers
Le système en cause s’appelle KARR, un boîtier Bluetooth Low Energy développé par Acrisure Protection Group et installé par des concessionnaires avant même que l’acheteur ne prenne possession de son véhicule. Le cœur du problème tient à un choix de conception radical : au lieu d’attribuer une clé de sécurité propre à chaque appareil, l’entreprise a programmé l’intégralité de sa gamme KARR-SWDS avec un identifiant d’authentification identique, accessible en clair dans le code de l’application mobile associée. Un chercheur qui met la main sur cette clé une seule fois détient de fait un passe-partout valable sur des millions de véhicules différents.
Sur le terrain, l’équipe menée par Aaron Schulman a construit son propre outil de test et l’a utilisé à quelques mètres d’un véhicule ciblé : déverrouillage des portières et blocage du démarrage en quelques secondes, avec pour seul indice visible un discret clignotement au moment où la commande est envoyée — rien qui puisse alerter un conducteur non averti. Lors d’un test mené sur un parking universitaire, l’équipe a identifié plusieurs dizaines de véhicules équipés d’un boîtier vulnérable en à peine vingt minutes, et est même parvenue à faire retentir klaxons et clignoter les feux de plusieurs voitures garées les unes à côté des autres, toutes en même temps.
Le vrai scandale : une installation sans consentement, et un traqueur permanent
Ce qui rend cette affaire particulièrement gênante dépasse la seule faille technique. Le boîtier KARR est posé par défaut chez certains concessionnaires avant la vente, puis proposé en option payante à l’acheteur — mais un refus de l’abonnement n’entraîne jamais le retrait physique du matériel. Selon les chercheurs, une large partie des propriétaires concernés n’ont tout simplement jamais été informés de la présence de ce dispositif sous leur capot.
Pire encore : croire qu’un abonnement refusé désactive réellement le boîtier est une erreur. Une simple requête d’activation envoyée par Bluetooth suffit à sortir l’appareil de son état de veille et à débloquer l’ensemble de ses fonctions, abonnement ou pas. Autre conséquence directe de ce fonctionnement : le boîtier signale en permanence sa présence par ondes Bluetooth, aussi bien moteur allumé que dans les minutes qui suivent son arrêt. Des services de cartographie collaborative comme WiGLE collectent ce type de signaux depuis des années à travers le monde ; en y recherchant l’identifiant d’un boîtier précis, il devient possible de reconstituer, presque comme un journal de bord, tous les lieux où un véhicule donné a stationné dans le passé.
Dix-huit mois de silence, et une réponse qui interroge
Le calendrier de cette affaire pose question. Prévenue par les chercheurs début 2025, l’entreprise Acrisure Protection Group a laissé passer près d’un an et demi avant de publier, le 20 juillet 2026, la mise à jour censée corriger le problème — un délai qui se termine, comme par hasard, tout juste avant la présentation publique des travaux devant la communauté de la cybersécurité. Sollicitée par la presse américaine sur ce délai, Acrisure a répondu que la vulnérabilité représentait un “risque faible pour les clients dans des conditions réelles” — une réponse qui tranche avec la gravité démontrée par les chercheurs.
Le problème ne s’arrête pas au calendrier de publication. Pour recevoir ce correctif, un propriétaire doit disposer de l’application mobile propre à KARR — celle-là même que seuls les abonnés payants ont l’habitude d’utiliser — puis suivre manuellement toute une procédure de mise à jour depuis les réglages de l’appareil. Pour les nombreux véhicules dont les propriétaires n’ont jamais souscrit cet abonnement ni téléchargé l’application, rien ne garantit qu’une mise à jour parvienne un jour jusqu’au boîtier installé sous leur capot.
Un cas d’école pour la régulation, même sans lien direct avec la France
Cette affaire reste américaine dans son périmètre — aucune indication ne suggère que le système KARR équipe des véhicules vendus en France. Mais elle illustre exactement le type de scénario que le Cyber Resilience Act européen, entré dans sa phase de mise en place depuis juin 2026, vise à prévenir : une clé de sécurité identique déployée à l’échelle industrielle, un correctif qui traîne pendant un an et demi, et une installation par défaut sans réel consentement de l’utilisateur final. Les chercheurs ont d’ailleurs pris soin de notifier également la NHTSA, l’agence fédérale américaine chargée de la sécurité routière — signe que le sujet dépasse la seule sphère de la cybersécurité pure.
Ce qu’il faut retenir
La gravité de cette faille ne tient pas à sa sophistication technique, mais à l’ampleur de l’erreur de conception : une clé d’authentification unique partagée par des millions d’appareils est le genre de choix qui, une fois découvert, compromet instantanément l’ensemble du parc plutôt qu’un seul véhicule isolé. À cela s’ajoute un vrai problème de confiance : du matériel installé sans consentement explicite, qui reste actif même après un refus d’abonnement, et un correctif dont l’accès dépend justement du paiement de cet abonnement contesté.
Le vrai enseignement dépasse le seul cas KARR : à mesure que les voitures embarquent toujours plus de connectivité, la question n’est plus seulement de savoir si une faille existe, mais combien de temps un fabricant met à la corriger une fois alerté — et surtout, si le correctif atteint réellement les véhicules concernés une fois publié. Sur ces deux points, dix-huit mois de délai et un déploiement qui repose sur le bon vouloir des concessionnaires ne sont pas franchement rassurants.
Sources : Journal du Geek, “2 millions de véhicules menacés par une faille critique du système d’antivol” — Erreur 403, “#87 – Deux millions de véhicules exposés par une alarme antivol et campagne russe active contre Zimbra” — IT-Connect, “Cette faille dans le système d’antivol expose 2,2 millions de voitures” — Malwarebytes, “Millions of cars could be tracked and unlocked by a hidden security flaw” — Clubic, “Un fabricant d’alarmes auto expose 2,2 millions de véhicules à un vol par Bluetooth” — Parlons Techs, “2 millions de voitures vulnérables : la « pire » faille automobile jamais découverte” — Local12 (via Popular Science), “Millions of cars vulnerable to Bluetooth hack involving KARR security system device”
Level 50, la mise à jour pour rester connecté.