Des milliers de voitures en danger : ces erreurs de sécurité auraient pu tourner au drame
Une base de données mal sécurisée appartenant à la plateforme française Globalfleet.eu a été découverte, exposant pendant plusieurs semaines 136 Go de données sensibles concernant des centaines de conducteurs. Cette faille permettait à un pirate d’intervenir à distance sur près de 3 600 véhicules à travers l’Europe, pouvant couper le moteur ou verrouiller les portières.
Globalfleet.eu, plateforme de géolocalisation et de gestion de flotte automobile de la société Avigeoloc, a ainsi révélé des données de localisation et des informations personnelles sensibles de ses clients, comme l’ont constaté les chercheurs en cybersécurité de Cybernews à la fin du mois de juin 2026.
Les experts ont identifié une base de données non sécurisée accessible sur Internet, contenant un volume important de données sur les clients. Parmi les informations exposées figurent des noms complets, adresses e-mail, mots de passe hachés, numéros de téléphone et adresses IP, ainsi que des détails sur les véhicules, tels que leur position GPS et leur vitesse.
Les investigations ont révélé que 131 conducteurs et 278 utilisateurs de la plateforme étaient concernés. Les données divulguées permettaient à un pirate d’exécuter des commandes à distance, comme couper le moteur ou verrouiller les portières, ce qui représente un risque important pour la sécurité routière.
Les failles de sécurité étaient dues à l’utilisation de mots de passe mal protégés et à des algorithmes de hachage obsolètes, comme MD5-Crypt, facilement exploitables par des logiciels spécialisés. De plus, un système permettant d’écrire directement dans la base de données sans vérifications adéquates a été mis en lumière.
Après avoir pris connaissance de la situation, les chercheurs ont tenté de contacter Avigeoloc, mais ont découvert que les adresses e-mail de l’entreprise n’étaient plus actives. Ils ont alors alerté le CERT-FR, qui a rapidement sécurisé la base de données. Actuellement, il n’existe aucune preuve que des cybercriminels aient exploité cette vulnérabilité pour réaliser des opérations malveillantes.
Source : Cybernews.
