Les bornes de recharge pour voitures électriques savent distribuer des kilowatts, mais certaines sont encore un peu légères côté cybersécurité. Des chercheurs de Flare ont passé au crible 1.000 points de terminaison utilisant OCPP (Open Charge Point Protocol), le protocole qui permet aux chargeurs de communiquer avec leurs systèmes de gestion à distance.
La France dans le haut du classement
Le bilan est peu rassurant : 720 d’entre eux (autrement dit 72 %), acceptaient des connexions sans chiffrement de la couche transport. Les échanges pouvaient donc circuler sans protection TLS alors qu’ils sont susceptibles de contenir des jetons d’authentification, des commandes de recharge et, selon les installations, des accès à des systèmes de paiement.
Pas question toutefois d’en conclure que n’importe quel pirate peut couper 720 bornes depuis son canapé. Flare précise n’avoir tenté aucune intrusion ni manipulation. L’étude mesure une exposition : elle montre que des systèmes sont accessibles et mal protégés, pas qu’ils sont tous directement exploitables.
Les chercheurs ont repéré des systèmes dans 56 pays. L’Allemagne arrive en tête avec 234 points de terminaison, devant les États-Unis (148), la France (63) et la Chine (46). Ces chiffres ne constituent pas un recensement des bornes installées : ils correspondent à la localisation réseau des systèmes détectés.
Une bonne partie du problème vient aussi des logiciels employés. Trois plateformes concentrent environ un tiers des systèmes observés. SteVe, un logiciel open source de gestion de bornes, compte à lui seul 216 points de terminaison, dont 167 sans chiffrement. Une mauvaise configuration par défaut peut donc se retrouver dupliquée à grande échelle.
OCPP 1.6 n’aide pas vraiment. Lancée en 2015 et toujours très répandue, cette version ne propose pas les mécanismes de sécurité par certificat ajoutés avec OCPP 2.0.1 puis 2.1. Les opérateurs peuvent compenser avec un VPN ou un réseau privé, mais ce n’est visiblement pas systématique.
Les bornes de recharge ont déjà attiré les chercheurs en sécurité. Au Pwn2Own Automotive 2024, l’équipe française Synacktiv avait notamment réussi à compromettre plusieurs chargeurs. En mars 2026, la CISA américaine signalait également des failles critiques dans le système OCPP d’Everon permettant à un attaquant distant d’émettre des commandes en se faisant passer pour une borne légitime.
Flare recommande donc des mesures assez classiques : imposer TLS, retirer les interfaces de gestion de l’Internet public, isoler les bornes du reste du réseau informatique et migrer vers OCPP 2.0.1 ou une version plus récente. En 2023, l’étude ChargePrint avait analysé plus de 27.000 bornes connectées et estimé que 92 % présentaient au moins une vulnérabilité. Les bornes électriques ont beaucoup progressé en puissance de recharge ; leur sécurité, elle, est encore loin du compte.
🟣 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google et sur notre canal WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.
