Contexte de l'incident
En septembre 2026, une femme en Australie a signalé que son véhicule Tesla Model 3 était manipulé à distance par son ancien compagnon. Selon son témoignage, l'ex-partenaire a pu verrouiller, déverrouiller et activer le chauffage du véhicule sans son accord, créant un climat de harcèlement continu.
Les faits ont été rapportés après que la victime a constaté des déplacements inexpliqués sur l'application mobile Tesla, ainsi que des notifications de changement de configuration du véhicule alors qu'elle était à l'extérieur du véhicule.
Fonctionnement du contrôle à distance
L'application mobile Tesla, disponible sur iOS 15 et Android 12, communique avec le véhicule via les serveurs cloud de Tesla. Chaque commande (verrouillage, climatisation, localisation) est encapsulée dans une requête HTTPS contenant un jeton d'accès OAuth lié au compte utilisateur.
Le véhicule possède une connexion cellulaire intégrée qui reçoit ces requêtes et les exécute en temps réel. Le processus repose sur l'authentification du compte et la validation du jeton, sans nécessiter de connexion directe entre le smartphone de l'utilisateur et le véhicule.
Analyse des failles de sécurité
Dans ce cas, l'ex-partenaire a récupéré les identifiants du compte Tesla de la victime, probablement via un courriel de réinitialisation de mot de passe ou une technique de phishing. Une fois les informations d'identification en main, il a pu générer un nouveau jeton d'accès et contrôler le véhicule à distance.
Cette chaîne d'attaque montre que la sécurité du système repose fortement sur la protection du compte utilisateur. Même si Tesla propose l'authentification à deux facteurs (2FA), l'activation de cette option n'est pas obligatoire et, lorsqu'elle est désactivée, un simple vol de mot de passe suffit pour obtenir un contrôle complet.
De plus, le modèle d'architecture « cloud‑to‑vehicle » ne permet pas de vérifier la localisation physique du demandeur, ce qui facilite l'exploitation à distance dès que le compte est compromis.
Réponses et mesures d'atténuation
Après l'incident, la victime a réinitialisé son mot de passe, révoqué tous les jetons actifs depuis le tableau de bord du compte Tesla et activé la 2FA. Tesla a recommandé aux utilisateurs de vérifier régulièrement les appareils autorisés et de désactiver les sessions inconnues.
Sur le plan technique, Tesla pourrait renforcer la sécurité en imposant la 2FA pour toutes les actions critiques (verrouillage, démarrage, localisation) et en introduisant une validation de proximité, par exemple en exigeant un code PIN affiché sur le véhicule pour confirmer les commandes à distance.
Enfin, l'affaire souligne l'importance pour les constructeurs de voitures connectées d'intégrer des mécanismes de détection d'anomalies, comme des alertes en cas de changements de configuration répétés depuis un même compte, afin de limiter les abus potentiels.
