Dépourvues de chiffrement, les bornes de recharge sont le nouveau terrain de jeu des hackers
Les infrastructures de recharge pour véhicules électriques, souvent laissées sans protection adéquate, deviennent des cibles de choix pour les hackers. Plusieurs incidents récents mettent en lumière cette vulnérabilité croissante.
En 2022, des bornes de recharge gérées par une municipalité britannique ont affiché des contenus inappropriés sur leur page d’accueil. Un an plus tard, un chercheur a découvert une session TeamViewer ouverte sur une borne Electrify America, lui permettant d’accéder librement au système d’exploitation Windows. La même année, une base de données non sécurisée de Shell Recharge a exposé près d’un téraoctet de journaux, révélant des informations sensibles sur les clients et la localisation de bornes privées. Fin 2024, environ 116 000 enregistrements d’un fournisseur indien de gestion de l’énergie, utilisés dans huit pays, ont été divulgués sur le dark web, incluant des noms, adresses, numéros d’identification (VIN) et clés d’authentification.
Le matériel des bornes de recharge n’est pas toujours sécurisé. Lors du concours Pwn2Own Automotive 2024, l’équipe Synacktiv a réussi à prendre le contrôle de plusieurs chargeurs, exploitant notamment un système d’appairage Bluetooth vulnérable. En mars 2026, un avis de la CISA a signalé une faille critique sur des bornes Everon, qui acceptaient un identifiant de station sans vérification d’authentification. D’autres systèmes OCPP ont également été touchés, permettant à des attaquants de détourner des connexions et d’intercepter des paiements.
En 2026, Pwn2Own a pour la première fois ciblé les superchargeurs de niveau 3, révélant 76 vulnérabilités en trois jours, dont la première exploitation publique d’une faille sur un superchargeur. L’outil ChargePrint, présenté en 2023, a montré qu’environ 92% des 27 439 bornes analysées dans le monde présentaient au moins une vulnérabilité.
Pour les utilisateurs, cela ne signifie pas que les charges en cours peuvent être détournées à distance. Cependant, 72% des interfaces de gestion observées acceptent des connexions non sécurisées, et la responsabilité de leur sécurisation incombe à des acteurs qui ne sont pas encore soumis à des obligations réglementaires.
Source : Clubic.
