Les bornes de recharge pour véhicules électriques sont vulnérables aux cyberattaques susceptibles de les mettre hors service, de modifier les données de consommation et de paralyser les serveurs qui les gèrent. Il ne s'agit pas d'un scénario hypothétique : une étude scientifique présentée lors de la conférence Vehicle Sec 2024 ( PDF disponible ici ), menée par Gaetano Coppoletta , chercheur sicilien aujourd'hui ingénieur chez Oracle, l'a démontré. Coppoletta et son équipe ont développé un outil appelé OCPPStorm pour tester la robustesse des implémentations du protocole OCPP, la norme utilisée par les bornes de recharge pour communiquer avec les systèmes de gestion centraux. Le point de départ de cette recherche est une question de plus en plus urgente : l’infrastructure qui alimentera des millions de voitures électriques dans les années à venir est-elle suffisamment sûre ? La réponse, du moins pour l’instant, n’est pas rassurante. Le scénario envisagé par les chercheurs ne nécessite pas d'accès physique à chaque borne de recharge. Il suffit de compromettre une borne ou d'envoyer des messages au système de gestion central pour exploiter les failles logicielles. De cette position, un attaquant peut causer des dommages considérables. OCPPStorm génère des millions de messages anormaux, incomplets ou manipulés et observe la réaction du système : c’est la technique de fuzzing, largement utilisée en recherche en sécurité pour découvrir des failles cachées.

Les tests ont été menés sur deux plateformes open source largement utilisées pour la gestion des bornes de recharge : Steve et OCPP.Core . Les résultats ont mis en évidence des vulnérabilités susceptibles d’avoir des conséquences opérationnelles et économiques. Comme l’a déclaré Coppoletta, certaines attaques « peuvent paralyser une ville ». Les défauts les plus graves identifiés dans OCPP.Core sont les suivants :

- Une attaque par déni de service (DoS) : en envoyant un message avec un champ anormalement grand, les chercheurs ont réussi à bloquer le serveur central, rendant temporairement inaccessible la gestion à distance de l'ensemble du réseau de recharge.
- La possibilité d' interrompre les sessions de charge actives à l'aide d'identifiants aléatoires
- Création de relevés de consommation négatifs par modification des données du compteur
- Lancer plusieurs transactions simultanées sur le même connecteur a un impact sur la facturation.

Steve rencontrait également des problèmes similaires : des sessions se terminant avec des identifiants prévisibles et des anomalies dans les systèmes de facturation.

Les failles ont été communiquées aux développeurs et corrigées par des mises à jour logicielles. Mais là n'est pas la question : le problème, c'est que ces vulnérabilités existaient et qu'il en existe probablement d'autres dans des logiciels similaires qui n'ont pas encore été testées avec la même rigueur. Avec le développement des voitures électriques , la cybersécurité des infrastructures de recharge devient aussi cruciale que la puissance des batteries ou la vitesse de recharge : et les recherches de Coppoletta nous rappellent que concevoir ces réseaux sans penser à la cybersécurité dès le départ est un risque que nous ne pouvons plus nous permettre .