Globalfleet.eu, la plateforme française de géolocalisation et de gestion de flotte automobile de la société Avigeoloc, a exposé pendant plusieurs semaines les données de localisation et les informations personnelles de ses clients. C’est ce qu’ont découvert les chercheurs en cybersécurité de Cybernews à la fin du mois de juin 2026.
Attackers could also stop engines. Read more ➡️ https://t.co/hkD17IXUBq pic.twitter.com/WeVE9FqGN5
— Cybernews (@Cybernews) July 22, 2026
À lire aussi : Voler une voiture en moins d’une minute – ce réseau criminel a fait des ravages avec un outil 100 % légal
Une base de données mal sécurisée
Les experts ont alors repéré une base de données mal sécurisée appartenant à Globalfleet.eu sur Internet. En analysant le système, ils constatent qu’il expose un volume considérable de données sur les clients de la plateforme. Les chercheurs dénichent un total de 136 Go de données, dépourvues de la moindre protection.
Les informations comprennent l’historique des localisations, les statuts des voitures, ainsi que des informations personnelles identifiables sur les conducteurs. Parmi les données personnelles accessibles, on trouve des noms complets, des noms d’utilisateur, des adresses e-mail, des mots de passe hachés (transformés par un algorithme en une chaîne de caractères illisible), des numéros de téléphone, des adresses postales ainsi que des adresses IP. Côté voitures, les informations comprennent un numéro unique lié à son boîtier de géolocalisation (IMEI), les identifiants de sa carte SIM (ICCID et IMSI), sa position GPS exacte et sa vitesse de circulation.
À lire aussi : Des milliers de voitures ont été clouées au sol par une cyberattaque – que s’est-il passé ?
Prise de contrôle à distance
Les premières investigations réalisées par CyberNews montrent que 131 conducteurs, 278 utilisateurs de la plateforme et près de 3 600 véhicules répartis à travers l’Europe sont concernés. En creusant davantage, les chercheurs découvrent que les données exposées peuvent permettre à un pirate « d’exécuter des commandes à distance sur un grand nombre de véhicules ». Il est notamment possible de « couper le moteur et de verrouiller les portières ». Un attaquant peut ainsi immobiliser une voiture de la flotte en pleine circulation ou en verrouiller les portières à distance, au risque de provoquer des accidents de la route.
Pour exécuter des commandes sur les voitures de la flotte, les pirates pourraient s’appuyer sur deux failles combinées, à commencer par des mots de passe mal protégés. Avec des logiciels dédiés, un pirate pourrait récupérer le mot de passe sur base de la version hachée. Une fois ce mot de passe récupéré, l’attaquant peut se connecter normalement à la plateforme, comme s’il était le vrai propriétaire du compte.
Les investigations ont révélé « de mauvaises pratiques, comme le recours à des algorithmes de hachage de mots de passe faibles », tels que l’algorithme MD5-Crypt. Les chercheurs estiment que cet algorithme est facile à casser avec des logiciels spécialisés. De l’avis général des experts de la cybersécurité, MD5-Crypt est un algorithme complètement dépassé, et criblé de faiblesses. Une étude Kaspersky a montré que 60% des mots de passe hachés en MD5 simple pouvaient d’ailleurs être craqués en moins d’une heure grâce à la puissance de calcul actuelle des GPU.
Le rapport pointe aussi du doigt un système qui permettait d’écrire directement dans la base de données pour déclencher des actions sur les véhicules, sans passer par les vérifications habituelles de l’application Globalfleet.eu. Celle-ci est en effet taillée pour s’assurer que l’utilisateur est bien connecté, qu’il a le droit d’effectuer cette action sur ce véhicule précis. Si c’est bien le cas, elle va envoyer une instruction à la base de données, ce qui se traduit par une commande sur la voiture. En écrivant directement l’instruction dans la base de données, un attaquant peut ainsi contourner les mécanismes de sécurité.
« Des personnes qui ignorent peut-être tout de ces dispositifs de suivi installés sur le véhicule qu’elles conduisent pourraient être ciblés par un tiers qui viendrait manipuler le moteur ou le verrouillage des portes de la voiture », alerte CyberNews.
Un incident résolu
Une fois que l’ampleur du problème a été déterminée, les chercheurs ont voulu entrer en contact avec Avigeoloc. Malheureusement, les experts ne parviennent pas à contacter l’entreprise. En effet, les adresses e-mail publiques de l’entreprise ne sont plus actives. Dos au mur, les enquêteurs se sont tournés vers le centre gouvernemental français de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’ANSSI.
Peu après l’alerte transmise au CERT, la base de données a été promptement sécurisée. Il n’est donc plus possible de consulter les données personnelles des clients de Globalfleet ou de lancer des commandes sur les véhicules. Rien ne laisse penser qu’un cybercriminel a pu profiter de la base de données mal sécurisée pour exfiltrer des informations ou réaliser des opérations malveillantes. Néanmoins, si des chercheurs bien intentionnés ont réussi à repérer la faille, « d’autres experts de données, aux intentions moins louables, ont pu en faire autant », estime CyberNews.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
