Les autobus électriques Yutong peuvent-ils être arrêtés à distance en Norvège ?

La connectivité croissante des véhicules fait émerger des inquiétudes en matière de cybersécurité. Jadis considérées comme un atout technologique - grâce notamment aux mises à jour à distance et à la surveillance en temps réel -, ces fonctions sont désormais perçues comme un risque potentiel pour les infrastructures critiques.

C’est ce qui s’est produit en Norvège, où il a été établi que des centaines d’autobus électriques fabriqués en Chine pourraient, en théorie, être arrêtés à distance par leur constructeur.

Autobus électriques Yutong : une vulnérabilité identifiée en Norvège

La Ruter, le principal opérateur de transports publics norvégien, a mis au jour cette situation lors d’un audit de cybersécurité. Après avoir testé les autobus électriques Yutong qu’elle exploite - Yutong figurant parmi les plus grands fabricants chinois d’autobus électriques -, l’entreprise a conclu que le constructeur, qui bénéficie d’un accès numérique direct à chaque véhicule pour les mises à jour logicielles et les diagnostics à distance, pourrait théoriquement immobiliser ou désactiver un autobus à distance.

À ce jour, Ruter peut supprimer cette connexion réseau en retirant simplement la carte SIM, puisque l’ensemble de la connectivité repose sur ce seul point d’accès.

Même si aucun élément ne suggère une activité malveillante, l’opérateur norvégien a déjà retiré les cartes concernées afin de s’assurer que tous les autobus puissent fonctionner de manière autonome et hors ligne. D’après Ruter, environ 1 300 autobus électriques circulent actuellement dans le pays, dont 850 Yutong.

Des autobus de VDL, une entreprise néerlandaise, ont également été soumis à des tests. Comme ils ne permettent pas les mises à jour logicielles à distance, ils sont jugés moins vulnérables.

Le Danemark signale la même vulnérabilité

Le problème ne s’est pas limité à la Norvège. Peu après cet épisode, le Danemark a confirmé avoir constaté le même type de faille au sein de sa propre flotte d’autobus électriques chinois.

Movia, l’opérateur chargé des transports publics de la capitale, indique exploiter 469 autobus fabriqués dans ce pays asiatique, parmi lesquels 262 Yutong.

Cybersécurité des véhicules connectés au cœur du débat

Face aux inquiétudes, le constructeur chinois a assuré, selon le journal The Guardian, qu’il respecte « rigoureusement les lois, réglementations et normes applicables dans les pays où ses véhicules sont exploités ». Il précise également que toutes les données de l’Union européenne (UE) « sont protégées par chiffrement et par des mesures de contrôle des accès », dans un centre de données Amazon Web Services situé à Francfort, en Allemagne.

Sans surprise, cette affaire a relancé un débat plus large sur la cybersécurité des véhicules connectés, à une période où un nombre croissant d’automobiles et d’autobus reçoivent des mises à jour à distance et échangent des données en temps réel.

« La prochaine génération d’autobus présentera une intégration technologique accrue entre les systèmes, ce qui compliquera la mise en place de pare-feu (un système de sécurité qui agit comme une barrière entre deux réseaux). Nous disposons donc d’une fenêtre technologique limitée pour appliquer dès maintenant les mesures de sécurité nécessaires », a déclaré Bernt Reitan Jenssen, directeur général de Ruter.

Cette question ne concerne pas uniquement l’Europe. Aux États-Unis, le département du Commerce a interdit cette année la vente de systèmes connectés provenant de Chine et de Russie. Même le fabricant de pneus Pirelli a vu sa technologie de capteurs - partiellement contrôlée par le groupe chinois Sinochem - faire l’objet d’un examen similaire.