Entre 2024 et 2025, une équipe de chercheurs de l’université Northeastern s’est associée à l’organisation Consumer Reports pour tester 21 véhicules récents du marché américain, mobilisant un parc dont l’acquisition indépendante aurait coûté plus de 1,2 million de dollars. En isolant les voitures dans une tente de Faraday capable de neutraliser les signaux cellulaires et en décortiquant les échanges réseau de 30 applications mobiles associées, les chercheurs ont mis en lumière une réalité sans équivoque : sur 21 véhicules testés, 19 transmettaient des données télématiques à des régies publicitaires et des sociétés de pistage, à l’insu des conducteurs.
Le véritable modèle économique de la voiture connectée consiste à s’approprier les données personnelles des automobilistes pour les revendre à l’écosystème de la publicité ciblée. Dans cette architecture, le consentement éclairé est purement fictif : les propriétaires sont réduits à choisir entre l’acceptation sans réserve de conditions abusives ou la perte sèche des fonctionnalités connectées de leur véhicule.
1,2 million de dollars pour forcer la boîte noire
Obtenir des preuves tangibles de la télémétrie transmise aux serveurs des constructeurs relève du défi financier et technique. Au sein d’une même marque, des modèles distincts adoptent des comportements réseau radicalement dissemblables : un acheteur ne peut donc en aucun cas déduire son niveau de confidentialité à partir du logo apposé sur le capot. L’équipe a dû se résoudre à mener des tests en conditions réelles sur 21 véhicules issus de 19 constructeurs, pour un coût estimé à plus de 1,2 million de dollars.
Figure : Une tente de Faraday pour véhicule offrant environ 93 dB d’atténuation, utilisée pour isoler les communications cellulaires de 11 voitures électriques. Source : Étude Automatic Transmission de l’université Northeastern
Pour forcer les flux de données à se dévoiler, les chercheurs ont mis en place un dispositif d’isolation physique. En stationnant les véhicules à l’intérieur d’une tente de Faraday procurant environ 93 dB d’atténuation, ils ont intégralement coupé les communications cellulaires, contraignant les systèmes embarqués à transiter par un point d’accès Wi-Fi dédié géré par un Raspberry Pi. Grâce à des captures tcpdump, l’équipe a constaté que, bien que les contenus fussent chiffrés, les serveurs et domaines tiers de destination apparaissaient en clair.
Côté mobile, les chercheurs ont installé des certificats racines personnalisés sur des iPhone de test et déchiffré le trafic via mitmproxy. En explorant méthodiquement l’intégralité des fonctionnalités des 30 applications constructeurs, les données décryptées ont levé le voile sur un second réseau de surveillance encore plus agressif.
Les applications compagnons démultiplient la surface d’exposition
Les applications mobiles compagnons, présentées comme des outils de confort indispensables, constituent en réalité la porte d’entrée privilégiée des traqueurs publicitaires. Sur les 30 applications évaluées, sept transmettaient directement des identifiants sensibles à des tiers spécialisés dans le ciblage publicitaire. Parmi ces informations figuraient le numéro de série du véhicule (VIN), l’adresse e-mail, le numéro de téléphone et la géolocalisation GPS en temps réel.
Figure : Flux de données dans l’écosystème des véhicules connectés : le véhicule et l’application mobile transmettent des données à des serveurs internes et tiers ; les lignes pleines indiquent le trafic effectivement intercepté au cours des tests. Source : Étude Automatic Transmission de l’université Northeastern
L’association d’une application mobile doublait en moyenne l’exposition d’un véhicule aux entreprises de pistage publicitaire. Sur une Cadillac Lyriq, l’application a ajouté 26 domaines de suivi supplémentaires ; sur un Chevrolet Blazer, 23 ; et sur un Toyota Corolla Cross, 25. Parmi les destinataires des données figuraient de grands groupes technologiques et des courtiers en données tels que Google, Meta, Microsoft et Acxiom.
L’automobiliste pense simplement déverrouiller ses portières ou préchauffer l’habitacle à distance. En coulisses, l’application associe ses trajets à son identité civile et injecte l’ensemble dans des bases de données de profilage. Dès l’instant où la donnée quitte l’appareil, le consommateur perd tout moyen de contrôle.
Pris sur le fait, les constructeurs se défaussent en bloc
Munie de ces preuves concrètes, l’équipe de recherche a engagé une procédure de divulgation responsable auprès des 17 constructeurs concernés. Les réponses obtenues ont partagé une ligne directrice commune : renvoyer systématiquement la responsabilité sur le consommateur.
Quatorze constructeurs ont rejeté la faute sur les contrats de services tiers. Cinq ont soutenu que les flux provenaient simplement des navigateurs web intégrés aux applications. Sept ont même affirmé sans détour qu’il appartenait aux clients d’assumer la responsabilité des destinations de leurs données. Seul le constructeur Honda a fait exception en modifiant ses pratiques après le signalement, interrompant l’envoi de la géolocalisation précise aux tiers impliqués dans le suivi publicitaire.
Les constructeurs vantent l’intelligence logicielle au moment de vendre leurs véhicules, mais se défaussent sur les sous-traitants et les acheteurs dès que des pratiques abusives sont dévoilées. L’industrie automobile refuse d’assumer la moindre responsabilité quant à la sécurité et à l’éthique du code qu’elle déploie sur les routes.
L’illusion du consentement face au diktat technologique
Dans l’écosystème actuel des véhicules connectés, les politiques de confidentialité imposées aux usagers relèvent d’un marché de dupes. Les conducteurs n’ont que trois issues : fermer les yeux et accepter l’ensemble des conditions, renoncer à des fonctionnalités essentielles comme le démarrage à distance et l’application mobile, ou renoncer purement et simplement à l’achat du véhicule.
Il ne s’agit pas d’un consentement éclairé, mais d’une véritable prise d’otage numérique. Dès lors que les constructeurs lient le contrôle physique d’un bien matériel à la marchandisation forcée de la vie privée, le véhicule cesse d’être un simple moyen de transport. Chaque commodité logicielle est désormais facturée au prix fort : celui de la traçabilité intégrale de votre vie quotidienne.
Liens de référence :
- Automatic Transmission
- Discussion sur Hacker News (item?id=49926628)
