Une étude révèle que les capteurs TPMS des voitures post-2008 permettent le suivi des véhicules

Des chercheurs de l’IMDEA Networks Institute, basé à Madrid, ont démontré une vulnérabilité dans les systèmes de surveillance de la pression des pneus (TPMS, pour Tire Pressure Monitoring System), obligatoires sur les nouveaux véhicules aux États-Unis depuis l’année modèle 2008. Ces capteurs diffusent un identifiant unique qui peut être capté à distance pour localiser les voitures sans lire leurs plaques d’immatriculation. L’étude révèle que cette faille affecte tous les modèles produits après cette date. Cette découverte s’inscrit dans le contexte de la loi TREAD Act de 2000, adoptée après les rappels massifs de pneus Firestone sur des Ford Explorer, qui a imposé les TPMS directs pour améliorer la sécurité routière. Les signaux radio des capteurs, émis à 315 ou 433 MHz, incluent non seulement l’identifiant mais aussi la pression et la température. Avec la généralisation des voitures connectées, ces risques numériques s’ajoutent aux vulnérabilités connues comme celles du bus CAN, exploitées lors de démonstrations de piratage en 2015. Les chercheurs ont déployé un réseau de récepteurs radio bon marché, à 100 dollars l’unité. Sur 10 semaines, ils ont recueilli environ 6 millions de signaux provenant d’20 000 véhicules, à plus de 160 pieds (50 mètres) de distance, même depuis l’intérieur de bâtiments. Ils ont aussi appris à associer les signaux à des pneus spécifiques et à intercepter les lectures de pression, révélant le type de véhicule ou sa charge. « Nos résultats montrent que ces signaux de capteurs de pneus peuvent servir à suivre les véhicules et à en apprendre les schémas de déplacement », a déclaré Domenico Giustiniano, professeur de recherche à l’IMDEA Networks Institute. Ces données pourraient exposer les habitudes quotidiennes des conducteurs, comme les heures d’arrivée au travail. Bien que les constructeurs n’aient pas encore réagi publiquement, des mises à jour firmware ou des capteurs chiffrés pourraient atténuer le problème, à l’image des progrès en cybersécurité automobile post-2015.