Dépourvues de chiffrement, les bornes de recharge sont le nouveau terrain de jeu des hackers

La société de cybersécurité Flare a passé au crible 1 000 bornes de recharge accessibles depuis Internet dans 56 pays. 72% d'entre elles acceptent des connexions sans le moindre chiffrement. Des données d'authentification transitent en clair, et parfois même des informations de paiement.

Cette collecte, menée entre le 14 juin et le 14 juillet 2026, mesure l'exposition du protocole OCPP, lequel est utilisé pour gérer l'authentification des sessions et, souvent, les paiements. Flare précise que l'étude ne démontre pas la capacité de coordonner des recharges à distance pour déstabiliser le réseau électrique, mais seulement qu'une condition préalable à ce scénario reste largement présente.

Entre le 14 juin et le 14 juillet 2026, Flare a mené une collecte passive sur les bornes accessibles publiquement. L'entreprise précise n'avoir jamais tenter de s'y connecter. Ses chercheurs ont identifié 1 000 points de terminaison OCPP dans 56 pays. Chaque point de terminaison est une interface de gestion accessible en ligne, et une seule de ces interfaces peut piloter plusieurs chargeurs à la fois. Le nombre réel de bornes concernées est donc bien plus élevé, mais pas précisé.

Sur ces 1 000 points, 720, soit 72%, répondent sans chiffrement de la couche transport (TLS). Ils laissent donc transiter en clair les jetons d'authentification, les commandes de session et, souvent, les accès aux systèmes de paiement.

Ces problèmes ont été observés sur un nombre restreint de plateformes. Le logiciel open source SteVe représente à lui seul 216 de ces 1 000 points, dont 167 sans chiffrement. Deux autres plateformes ajoutent 124 points, sans qu'aucun ne soit chiffré. À elles trois, ces solutions couvrent un tiers de l'échantillon. L'Allemagne arrive en tête avec 234 points, suivie des États-Unis (148), de la France (63) et de la Chine (46). Sorti en 2015, OCPP 1.6 ne prévoit aucun chiffrement natif et reste la version la plus répandue. Les versions 2.0.1 (2020) et 2.1 (2025) ajoutent une sécurité par certificat, mais restaient rares dans l'échantillon, faute de renouvellement du matériel.

Pour sécuriser les bornes, des chercheurs de l'université de Malaga proposent un système de surveillance par IA pour repérer les anomalies sur les plateformes toujours pilotées en OCPP 1.6J.

À découvrir Voitures électriques : la France compte désormais plus de 200 000 bornes de recharge publiques 10 août 2026 à 17h41 News Un écran détourné, un superchargeur piraté Et des incidents, il y en a eu un certain nombre. En 2022, des bornes gérées par une municipalité britannique affichaient des sites pornographiques en page d'accueil. En 2023, un chercheur a retrouvé une session TeamViewer ouverte sur l'écran d'une borne Electrify America et navigué librement dans Windows. La même année, une base Shell Recharge non protégée exposait près d'un téraoctet de journaux. On y retrouvait les coordonnées clients et la localisation de bornes privées. Fin 2024, environ 116 000 enregistrements liés au logiciel d'un fournisseur indien de gestion de l'énergie, utilisé dans huit pays, ont fuité sur le dark web.