L’\u00e9mergence des services et applications de mobilit\u00e9 intelligente a conduit \u00e0 une forte augmentation de l’utilisation des API dans l’industrie automobile. Cependant, cette d\u00e9pendance accrue aux API en a \u00e9galement fait l’un des vecteurs d’attaque les plus courants. Selon Gartner, les API repr\u00e9sentent 90 % des surfaces d’attaque des applications Web. <\/p>\n
Sans surprise, des tendances similaires \u00e9mergent \u00e9galement dans le domaine de la mobilit\u00e9 intelligente. Une r\u00e9cente Rapport sur la cybers\u00e9curit\u00e9 de l’automobile et de la mobilit\u00e9 intelligente<\/b><\/a> par S\u00e9curit\u00e9 en amont<\/b> indique que l’\u00e9cosyst\u00e8me de l’automobile et de la mobilit\u00e9 intelligente a connu une augmentation de 380\u00a0% des incidents li\u00e9s aux API en 2022, par rapport \u00e0 2021. De plus, les API ont repr\u00e9sent\u00e9 12\u00a0% du total des cyberincidents en 2022, contre seulement 2\u00a0% en 2021. <\/p>\n Lors de l’examen des applications et des services de mobilit\u00e9 intelligente, l’\u00e9quipe de renseignement sur les menaces d’Upstream a signal\u00e9 que les acteurs black-hat \u00e9taient \u00e0 l’origine de 53\u00a0% des incidents, indiquant que l’intention malveillante \u00e9tait la force motrice de la majorit\u00e9 des attaques li\u00e9es aux API. L’impact de ces incidents va bien au-del\u00e0 des violations de donn\u00e9es et d’informations personnelles, provoquant souvent des interruptions de service, des activit\u00e9s frauduleuses, des probl\u00e8mes de confiance et une perte de revenus potentielle. <\/p>\n Ces derni\u00e8res ann\u00e9es, la connectivit\u00e9 des v\u00e9hicules s’est consid\u00e9rablement d\u00e9velopp\u00e9e, introduisant des opportunit\u00e9s de revenus innovantes bas\u00e9es sur les donn\u00e9es pour les acteurs traditionnels de l’automobile ainsi que pour les nouveaux acteurs. La mobilit\u00e9 dans son ensemble est devenue plus connect\u00e9e, avec des services de covoiturage, de location de voitures et m\u00eame de gestion de flotte, tous utilisant des applications mobiles pour offrir un acc\u00e8s facile et une exp\u00e9rience am\u00e9lior\u00e9e aux consommateurs. Les cas d’utilisation de donn\u00e9es modernes offrent une surveillance continue et aident les parties prenantes \u00e0 introduire de nouvelles fonctionnalit\u00e9s et opportunit\u00e9s. Selon une \u00e9tude de McKinsey, 30\u00a0% des revenus de l’automobile seront attribu\u00e9s aux services de mobilit\u00e9 intelligents et bas\u00e9s sur les donn\u00e9es d’ici 2030. Mais contrairement aux applications informatiques, ces applications innovantes et bas\u00e9es sur les donn\u00e9es utilisent fortement des API qui ont un impact direct sur les v\u00e9hicules. la route.<\/p>\n En 2022, nous avons assist\u00e9 \u00e0 une utilisation de plus en plus sophistiqu\u00e9e des API dans les cyberattaques automobiles et de mobilit\u00e9 intelligente. En tant que vecteur d’attaque, les API attirent l’attention des chercheurs et des acteurs malveillants car elles n\u00e9cessitent un seuil relativement bas de savoir-faire et d’expertise automobile. Essentiellement, r\u00e9duire au minimum la barri\u00e8re d’entr\u00e9e des acteurs de la menace. Une seule vuln\u00e9rabilit\u00e9 dans une API peut avoir un impact direct sur des millions de v\u00e9hicules, dans diff\u00e9rentes flottes. Un exemple frappant de la facilit\u00e9 d’attaque et de l’impact significatif peut \u00eatre trouv\u00e9 dans un incident r\u00e9cent en Europe\u00a0: \u00e0 la mi-2022, le centre de Moscou \u00e9tait bloqu\u00e9 lorsqu’un service de covoiturage a \u00e9t\u00e9 manipul\u00e9 de mani\u00e8re malveillante pour envoyer tous les taxis disponibles \u00e0 un seul endroit, provoquant des embouteillages de plusieurs heures, entravant la libert\u00e9 de mouvement des personnes et mettant en danger les infrastructures et la s\u00e9curit\u00e9 publiques. Dans ce cas, les attaquants n’avaient pas besoin de comprendre comment les v\u00e9hicules fonctionnent ou fonctionnent, tout ce qu’ils avaient \u00e0 faire \u00e9tait d’identifier les vuln\u00e9rabilit\u00e9s de l’API et de les exploiter. <\/p>\n Les services de mobilit\u00e9 intelligente ont toujours surveill\u00e9 et s\u00e9curis\u00e9 les transactions API pour \u00e9viter les pertes de revenus dues \u00e0 la fraude, aux interruptions de service et \u00e0 la compromission des donn\u00e9es priv\u00e9es de l’organisation ou des utilisateurs. Cependant, les solutions de s\u00e9curit\u00e9 API traditionnelles pr\u00e9sentent un “angle mort” important en mati\u00e8re de mobilit\u00e9 intelligente. Ils ne parviennent souvent pas \u00e0 d\u00e9tecter les attaques sophistiqu\u00e9es qui affectent les applications de mobilit\u00e9, les actifs et les consommateurs en raison du manque d’analyse contextuelle de l’impact des transactions API sur les v\u00e9hicules en mouvement.<\/p>\n![\"S\u00e9curit\u00e9](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEi8iIh_SFHk4j2xA1MtkXaQdhsKHGfqAaPcYxd4jD9BKOCluodYOSMpNocrX-ChlIhnpyuDxZTljvrPSf944Q1Mq4hBOA647t7tCiiHt4JF4RAft69xoZKCWfpBSh_U1E-On3c6i-zlVWFrMWoqH8fsNv5bvdR-iQsKDDYZNsdHprgZNawDo35kzIZL\/s728-e3650\/auto-1.png\" "\\"S\u00e9curit\u00e9")
<\/div>\nLes services de mobilit\u00e9 bas\u00e9s sur les donn\u00e9es remod\u00e8lent les mod\u00e8les de revenus automobiles traditionnels<\/strong><\/h2>\n
Embouteillages massifs caus\u00e9s par des transactions d’API manipul\u00e9es <\/strong><\/h2>\n
WAF ne suffit pas (toujours)\u00a0: d\u00e9velopper un cadre contextuel pour la s\u00e9curit\u00e9 des API de mobilit\u00e9 intelligente<\/strong><\/h2>\n