Fuite chez Volkswagen

Le 27 décembre 2024, Volkswagen — premier constructeur automobile européen — s'est avéré avoir exposé des données sensibles d'environ 800 000 propriétaires de véhicules électriques via un système cloud mal configuré, exploité par sa filiale logicielle Cariad. Les données sont restées accessibles sans protection pendant plusieurs mois sur un espace de stockage Amazon et concernaient les marques VW, Audi, Seat et Skoda.

Il ne s'agissait pas d'un piratage mais d'une erreur de configuration : deux applications informatiques de Cariad laissaient les données publiquement accessibles. Le Chaos Computer Club (CCC) allemand, alerté par une source anonyme, a identifié la faille et averti Volkswagen le 26 novembre 2024 avant une divulgation publique vers le 30 décembre, dans le cadre d'une divulgation coordonnée.

Les données exposées comprenaient :

• Les coordonnées des propriétaires et clients
• Les données de déplacement et de télémétrie des véhicules
• La géolocalisation précise d'environ 466 000 véhicules, suffisamment exacte pour reconstituer les habitudes quotidiennes des conducteurs (domicile, lieu de travail et autres lieux fréquentés)

Cariad a corrigé la mauvaise configuration le jour même de son signalement. Volkswagen a précisé qu'aucun mot de passe ni donnée de paiement n'était concerné, que l'accès aux enregistrements individuels nécessitait de contourner plusieurs mécanismes de sécurité, et qu'aucun élément n'indiquait que les données exposées aient été consultées par des acteurs malveillants. L'incident est considéré comme maîtrisé.