Votre concession est-elle à l’abri des pirates informatiques et des individus malveillants ?
Il existe une expression bien connue parmi les experts du secteur de la cybersécurité. Peut-être l’avez-vous déjà entendue ? Elle ressemble à ceci : Les pirates informatiques ne piratent pas. Ils se connectent.
La situation peut être aussi simple qu’un employé d’un concessionnaire qui télécharge un logiciel après avoir cliqué sur le mauvais lien sur un site web. Ou bien l’employé reçoit un courriel, généralement une forme d’attaque par hameçonnage ou d’ingénierie sociale telle qu’une attaque par compromission des courriels professionnels (BEC).
« Ce sont les deux principaux types d’attaques et nous les voyons se produire tout le temps », a déclaré Loïc Calvez, cofondateur et PDG d’ALCiT, un fournisseur de services de sécurité gérés (MSSP) basé en Ontario.
Comme deuxième exemple, il explique que l’employé ouvre le courriel et qu’il a peut-être été amené à révéler ses identifiants de connexion ou à contourner les mesures de sécurité, mais le résultat est une histoire que les experts en cybersécurité ne connaissent que trop bien : les collègues demandent à l’employé pourquoi il leur envoie sans cesse des courriels marketing pour qu’ils cliquent sur un lien. « Est-ce vraiment toi ? » lui demandent-ils.
« Si vous en êtes à ce stade, cela signifie que le pirate informatique est dans votre boîte de messagerie depuis des semaines et qu’il a décidé de griller votre compte », a déclaré M. Calvez à Affaires automobiles. « Personne n’entre dans le serveur central pour essayer de modifier les paramètres. Les pirates informatiques obtiennent soit des identifiants de connexion, soit un mot de passe faible, un mot de passe divulgué, un mot de passe trouvé sur un autre site… et ils se connectent tout simplement. »
Selon lui, il s’écoule en moyenne plus de 180 jours entre le moment où la cyberattaque se produit et le moment où elle est découverte, l’exemple le plus courant étant celui d’une attaque BEC. Cela correspond aux conclusions du rapport d’IBM sur le coût des violations de données 2024, qui montre que la moyenne au niveau mondial est de 194 jours pour identifier le problème et de 64 jours supplémentaires pour le contenir. C’est pourquoi M. Calvez conseille de choisir des mots de passe robustes.
« Votre prénom, le nom de votre fille, la marque de votre voiture, le nom de votre concessionnaire automobile ne constituent pas de bons mots de passe. Même si vous ajoutez un chiffre 1 à la fin, cela reste un mot de passe très faible. Nous les piratons en cinq minutes environ », a-t-il déclaré.
Sécurité de l’identité
Anne-Marie Kelly, responsable de la lutte contre la fraude chez Paays Financial Technologies, travaille depuis 30 ans dans le domaine de la prévention et de la détection des crimes financiers. Elle explique que le fait que les discussions autour des mots de passe soient toujours d’actualité lui indique que l’on a encore affaire à des fraudes traditionnelles.
« La cybercriminalité existe toujours, mais les criminels utilisent la technologie pour commettre les mêmes crimes que ceux dont je parlais il y a 25 ans », a-t-elle déclaré à Affaires automobiles. La différence réside peut-être dans le fait que les concessionnaires lui parlent beaucoup du contrôle de la gestion des accès et des identités.
Dans le passé, il pouvait y avoir un nom d’utilisateur et un mot de passe, ou quelques noms d’utilisateur et mots de passe pour se connecter à un ou plusieurs portails spécifiques ou à un système de gestion des données (DMS). Aujourd’hui, les concessionnaires ont changé de stratégie et les fournisseurs proposent des solutions d’accès permettant de créer des noms d’utilisateur et des mots de passe uniques pour les personnes autorisées à accéder à ces différents systèmes.
« Qu’il s’agisse de l’accès à l’inventaire, de l’accès aux informations sur les employés ou de tout autre type d’accès, le renforcement du contrôle de la gestion des identités et des accès est certainement un sujet de conversation », a déclaré Mme Kelly.
Selon elle, l’événement qui s’est produit l’été dernier, au cours duquel un important fournisseur de logiciels DMS pour les concessionnaires a subi une panne due à des cyberattaques successives, a fait prendre conscience qu’il s’agissait d’une situation « moi aussi » : cela peut également se produire dans le secteur automobile.
Au cours du mois qui a suivi la panne, les cyberattaques contre les concessionnaires ont augmenté de près de 232 %, selon le rapport The State of Cybersecurity 2024. Les données, compilées par Proton Dealership IT and Cybersecurity, qui a été rachetée par Reynolds il y a quelques années, montrent que les cyberattaques demeurent bien au-dessus des niveaux observés avant cet incident majeur.
Le rapport note également que les concessionnaires sont la cible d’attaques « chaque jour ». Le niveau de protection de ces concessionnaires peut faire la différence entre une attaque de type rançongiciel qui les paralyserait pendant des jours ou des semaines, et un problème qui ne durerait que « 15 à 20 minutes pour un utilisateur ».
« L’incident CDK s’est produit et a eu des répercussions importantes », a souligné Mme Kelly. « Le secteur doit faire mieux en matière de cybersécurité et d’identité, et qui dit identité dit vérification d’identité. »
Signaux d’alerte courants
En raison des mécanismes de détection limités, les utilisateurs réguliers passent souvent à côté des premiers signes avant-coureurs des menaces de cybersécurité, explique Seyed Hejazi, membre de l’équipe des Solutions numériques de MNP à Toronto, en Ontario, qui possède près de 20 ans d’expérience dans le domaine de la cybersécurité et des technologies de l’information.
Il a déclaré à Affaires automobiles que dans le cas des attaques par rançongiciels, les problèmes tels que les systèmes bloqués, les serveurs inaccessibles ou les interruptions de service peuvent n’apparaître que lorsqu’il est trop tard.
« Un concessionnaire peut être exposé à des risques s’il ne dispose pas d’un programme formel de gestion des vulnérabilités (incluant l’analyse des vulnérabilités et l’application rapide de correctifs), s’il n’a pas de plan d’intervention en cas d’incident, s’il utilise des réseaux horizontaux qui permettent un accès étendu à tous les domaines ou s’il ne maintient pas un programme complet de cybersécurité », nous a mentionné M. Hejazi.
Il a ajouté que les attaques BEC et de type rançongiciel continuent d’être des menaces très répandues, soulignant que l’ingénierie sociale reste tout de même le type d’attaque le plus efficace. Elle aboutit souvent à des incidents BEC ou de type rançongiciel, et ces deux types d’attaques peuvent entraîner des pertes financières importantes et nuire à la réputation de l’organisation.
« De plus, on observe une augmentation du déploiement d’outils basés sur l’IA pour faciliter des campagnes d’ingénierie sociale plus sophistiquées et plus efficaces dans divers secteurs », a indiqué M. Hejazi.
L’impact n’est pas seulement direct, mais aussi indirect lorsqu’on en vient aux consommateurs. Le 2025 Connected Car Cyber Safety & Security Index (ou indice de cybersécurité et de sûreté des voitures connectées) publié par RunSafe Security a révélé que, sur les 2 000 propriétaires de voitures connectées interrogés aux États-Unis, au Royaume-Uni et en Allemagne, 70 % envisageraient d’acheter des véhicules plus anciens et moins connectés afin de réduire les risques cybernétiques.
Quatre-vingt-cinq pour cent d’entre eux seraient plus préoccupés par les risques liés à la cybersécurité si des entreprises externes intégraient des fonctionnalités d’IA dans leurs véhicules, et 37 % changeraient de marque si leur véhicule préféré était vulnérable aux cyberattaques.
Tout cela montre que la sécurité de l’IA et les cyberattaques n’inquiètent pas seulement les entreprises, mais aussi les consommateurs.
De quelle manière les concessionnaires peuvent-ils agir ?
Il ne faut pas sous-estimer l’importance de l’éducation et de la formation. Corey Bloom, associée et chef de l’équipe du Service d’enquêtes et de juricomptabilité de MNP à Montréal, au Québec, a mentionné qu’il est nécessaire que les employés, et en particulier les représentants, comprennent l’importance de leur rôle dans la protection de la concession.
« Il est essentiel qu’ils suivent régulièrement des formations sur la lutte contre la fraude et la cybersécurité afin de pouvoir reconnaître les signaux d’alerte, signaler les problèmes si nécessaire et tenter d’éviter les tentatives d’hameçonnage, d’ingénierie sociale et autres menaces liées à la cybersécurité », a-t-elle déclaré.
Mme Bloom conseille également aux concessionnaires d’envisager de se faire aider en interne et de consulter des experts externes si besoin est. Elle a ajouté que les conseillers juridiques peuvent souvent aider les concessionnaires à entrer en contact avec des enquêteurs, des experts-comptables judiciaires et des professionnels de la cybersécurité.
Quelle que soit la décision prise, n’oubliez pas à quel point il est facile pour les pirates informatiques d’accéder aux données. Après tout, la plupart d’entre eux ne piratent pas. Ils se connectent.
