Voitures électriques chinoises : la menace de prise de contrôle à distance qui inquiète de plus en plus les experts

Une voiture peut désormais évoluer après sa sortie d’usine, recevoir de nouvelles fonctions et communiquer en continu avec son constructeur. Cette promesse de confort soulève aussi une inquiétude plus sombre : que se passe-t-il lorsque le véhicule devient un appareil connecté capable d’agir sur la route ?

La forte présence des marques chinoises en Europe remet cette question au centre du débat. Le risque ne se limite pourtant ni à une nationalité ni à un seul constructeur.

Pourquoi les véhicules électriques connectés suscitent autant de questions

Les constructeurs chinois gagnent du terrain sur le marché européen, une tendance particulièrement visible au Mondial de l’auto 2026. La 91e édition du salon, ouverte le 12 octobre, a illustré cette montée en puissance avec une présence massive de véhicules venus de Chine.

Cette percée inquiète certains responsables politiques. Le 13 octobre, sur RMC Story, le ministre délégué chargé de l’Industrie, Sébastien Martin, a estimé qu’il était préférable de ne pas dépendre de véhicules susceptibles d’être commandés depuis la Chine. Son propos visait la possibilité d’un piratage ou d’une intervention à distance par le pays d’origine.

La question est devenue crédible car l’automobile a changé de nature. Selon Ivan Rogissart, directeur avant-vente Europe du Sud chez Zscaler, une telle action est techniquement réalisable dans un environnement toujours plus connecté.

Les voitures modernes ne sont plus seulement des assemblages mécaniques. Freinage, accélération, assistance à la conduite et infotainment reposent largement sur des logiciels. C’est ce basculement qui exige d’examiner la chaîne technique, avant de désigner un seul pays comme responsable.

Autos

La voiture électrique de Xiaomi suscite des critiques : la marque revoit ses plans

La marque Xiaomi, bien connue pour ses produits électroniques de pointe, s'est récemment retrouvée sous les feux des projecteurs dans le monde des supercars…

Lire l'article

Le vrai sujet : le véhicule défini par logiciel et sa connexion à distance

Le terme SDV, pour Software Defined Vehicle ou véhicule défini par logiciel, résume cette transformation. Une mise à jour à distance peut ajouter une fonction, limiter une capacité existante ou mieux exploiter un composant installé dès l’usine.

Un véhicule connecté embarque des caméras, des microphones, des capteurs et des calculateurs. Yoann Delomier, responsable de la stratégie d’entreprise pour les technologies opérationnelles chez Wallix, le décrit comme un ordinateur sur roues. Il peut collecter des données de localisation, des images et des vidéos.

Les constructeurs peuvent aussi connaître la position du véhicule, les freinages effectués ou encore certaines opérations de réparation. Le hacker éthique Gaël Musquet souligne que cette capacité de collecte, autrefois digne de la fiction, est désormais inhérente à une partie des voitures connectées.

La CNIL, Commission nationale de l’informatique et des libertés, s’est d’ailleurs saisie du sujet. Fin juin, elle a actualisé ses recommandations sur l’usage des données de localisation issues des voitures connectées par les professionnels, notamment les constructeurs.

Le risque majeur ne tient toutefois pas uniquement aux données personnelles. Pour assurer les mises à jour, les diagnostics, la maintenance ou les appels d’urgence, les voitures communiquent avec des centres de téléopération et des centres de données. Cette liaison utile peut aussi devenir un point d’accès à protéger.

Les précédents qui alimentent la crainte d’un contrôle à distance

Des incidents récents montrent pourquoi le débat ne peut être écarté d’un revers de main. Fin octobre 2025, Ruter, l’autorité des transports publics d’Oslo, a conclu dans le cadre d’une enquête que des bus électriques de la marque chinoise Yutong pouvaient être désactivés depuis la Chine.

Cette possibilité était liée à une connexion maintenue par le fabricant, notamment afin d’installer des mises à jour à distance. Le fait qu’un constructeur puisse intervenir sur un véhicule ne prouve pas une intention malveillante. Il démontre néanmoins l’existence d’un levier technique.

La Norvège s’est également inquiétée après un exercice militaire organisé en septembre. Selon le média norvégien Dagens Naeringsliv, information relayée par Europe 1, des soldats ont découvert que des voitures chinoises louées par l’institution avaient enregistré des données sensibles via leurs caméras et microphones.

Les enregistrements audio comportaient notamment des codes permettant d’ouvrir des portails sur des sites et installations militaires. Les militaires ont pu effacer ces fichiers. Ils ignoraient toutefois si ces informations avaient été transférées en Chine avant leur suppression.

La Pologne a choisi une précaution plus radicale. Depuis février, les voitures d’origine chinoise sont interdites dans les installations militaires, par crainte d’une collecte de données sensibles, selon Reuters. L’armée a aussi interdit de connecter des téléphones aux systèmes d’infodivertissement. Ces exemples expliquent l’alerte, mais ils ne suffisent pas à faire de l’interdiction générale une réponse complète.

Pourquoi le risque ne concerne pas uniquement les marques chinoises

Le contrôle à distance n’est pas une particularité chinoise. En 2017, avant le passage de l’ouragan Irma, Tesla a débridé à distance la capacité des batteries de certains véhicules afin d’aider des habitants de Floride à évacuer plus facilement.

Cette intervention avait un objectif d’assistance. Elle confirme cependant qu’un constructeur peut modifier des paramètres importants sans passage en atelier. Le même principe technique peut être bénéfique ou poser problème selon le contexte, les autorisations et le niveau de sécurité.

Gaël Musquet rappelle aussi que des États ou des groupes criminels, indépendants ou liés à des États, peuvent perturber et corrompre des chaînes logistiques. Les restrictions récentes du réseau Starlink en Ukraine l’illustrent selon lui.

Des équipements militaires ukrainiens, notamment des drones aériens, perdent leur connexion lorsqu’ils dépassent 160 km/h. Elon Musk a laissé entendre que le gouvernement américain était responsable de ces difficultés. Elles seraient apparues après une demande de l’administration Trump visant à faire cesser les frappes ukrainiennes contre des installations pétrolières russes.

Les voitures autonomes amplifient encore l’enjeu. Les États-Unis et la Chine figurent parmi les leaders de l’intelligence artificielle, ce qui contribue aux performances de leurs systèmes de conduite. Tesla, BYD et Xpeng exploitent des IA qui apprennent sur les routes parcourues, avec leurs caméras, leurs données de géométrie routière et leurs informations de vitesse. Reste donc à sécuriser les fonctions réellement accessibles.

Comment réduire concrètement le risque de piratage automobile

Interdire toutes les voitures électriques chinoises n’est pas la solution privilégiée par Ivan Rogissart, Yoann Delomier et Gaël Musquet. Ivan Rogissart pose une question centrale : le risque est-il plus élevé dans une voiture chinoise, ou dans un chipset chinois intégré à une voiture d’une autre origine ?

Pour lui, le débat dépasse alors la cybersécurité et rejoint la défense industrielle ainsi que le protectionnisme. Les restrictions américaines sur les puces Nvidia les plus avancées vers la Chine n’ont pas empêché le pays de progresser en intelligence artificielle. De même, les obstacles mis en place sous Joe Biden n’ont pas empêché l’industrie automobile chinoise de produire des voitures de haute qualité.

La priorité consiste à contrôler les flux et les accès. Les objets connectés sont souvent des cibles appréciées des pirates, car leur niveau de sécurité reste parfois faible. Or, leurs fonctions sont prévisibles : mise à jour, diagnostic, maintenance ou assistance à distance.

1. Cartographier les connexions entre le véhicule, le constructeur, les plateformes cloud et les outils de diagnostic.
2. Limiter les flux entrants aux seules actions strictement nécessaires et authentifiées. Une connexion non indispensable ne doit pas permettre de prendre la main à distance.
3. Encadrer les mises à jour à distance avec des mécanismes de vérification et des droits clairement définis.
4. Former les garagistes aux enjeux de cybersécurité lorsque leurs interventions nécessitent des logiciels connectés.
5. Auditer les logiciels embarqués afin de vérifier le code et les fonctions actives dans le véhicule.

Les distributeurs qui commercialisent les voitures ont un rôle direct dans cette sécurisation. Les garages aussi, car les diagnostics reposent fréquemment sur des logiciels connectés pouvant eux-mêmes être utilisés à distance.

Souveraineté logicielle : l’enjeu français et européen au-delà du matériel

Empêcher l’importation de véhicules étrangers supposerait de pouvoir fabriquer soi-même toutes les alternatives nécessaires. Pour Yoann Delomier, cette capacité ne se construit pas facilement. La souveraineté ne se décrète donc pas uniquement à la frontière.

Gaël Musquet appelle plutôt à une véritable stratégie industrielle du logiciel en France. Le pays dispose de deux constructeurs de rang mondial, Renault et Stellantis, ainsi que d’entreprises expertes en cybersécurité automobile.

Il cite notamment Synacktiv, qui a découvert et exploité plusieurs failles de sécurité dans des véhicules Tesla lors d’un concours annuel de piratage éthique. Pour lui, ces compétences françaises peuvent contribuer à renforcer la souveraineté des véhicules circulant en Europe.

Une autre piste consiste à privilégier des logiciels issus de fondations internationales neutres, dont le code source peut être audité et expertisé. Même avec un matériel chinois, l’examen indépendant du logiciel apporte une garantie supplémentaire.

La Linux Foundation travaille ainsi sur Automotive Grade Linux, un projet visant à accélérer le développement et l’adoption d’une pile logicielle ouverte pour les voitures connectées. Elle collabore notamment avec l’entreprise bretonne IoT.bzh, spécialisée dans la cybersécurité.

Ce qu’il ne faut pas confondre dans ce débat

Le premier piège consiste à croire qu’une voiture connectée est dangereuse uniquement parce qu’elle est chinoise. Le problème concerne tout véhicule dont les fonctions critiques, les capteurs ou les données restent accessibles par une connexion distante insuffisamment sécurisée.

Le second serait d’imaginer qu’une interdiction résout tout. Des composants, des plateformes cloud, des logiciels et des chaînes d’approvisionnement internationales restent présents dans de nombreux modèles européens, américains ou asiatiques.

La scène de piratage massif montrée dans Fast & Furious 8 relève du cinéma dans sa mise en scène. Mais faire freiner, accélérer ou dévier un véhicule connecté n’est plus un scénario techniquement impensable. La réponse durable passe par des règles d’accès strictes, des audits et une capacité européenne à maîtriser les logiciels embarqués.

Avant d’acheter ou de déployer une flotte, il devient donc essentiel de demander quelles données sont collectées, où elles sont stockées et qui peut intervenir à distance. C’est sur ces réponses concrètes que se joue la confiance dans la voiture électrique connectée.