De quoi parle-t-on : la surface d'attaque
Une borne moderne expose plusieurs portes : son lien Wi-Fi ou 4G, son appli et le cloud du fabricant, son lecteur de badge RFID, parfois une interface locale de configuration, et son dialogue OCPP avec la supervision. Les travaux de chercheurs ont montré, selon les modèles, des badges clonables, des interfaces accessibles avec les mots de passe d'usine, des applis exposant plus que nécessaire.
La mise en perspective compte : ce que ces faiblesses permettent surtout, c'est de charger aux frais d'autrui, de perturber une session ou de collecter des données d'usage. Les protections des personnes, différentiels, disjoncteurs, verrouillages, sont matérielles : aucun logiciel ne les contourne, et le scénario du film catastrophe reste dans les films.
À la maison : un risque modeste, des réflexes simples
- Changer les mots de passe d'usine de la borne et de son interface : la faille la plus documentée est aussi la plus simple à fermer.
- Tenir le firmware à jour : les correctifs colmatent ce que les chercheurs publient.
- Placer la borne sur le réseau invité de la box plutôt qu'avec vos ordinateurs : un cloisonnement gratuit.
- Activer l'authentification par badge ou appli si la borne est accessible de l'extérieur, le vol de recharge étant le risque numéro un.
- Choisir une marque qui publie des mises à jour régulières : la sécurité s'achète surtout au moment du choix du matériel.
Parcs, entreprises, réseau public : là où ça se professionnalise
À l'échelle d'un parc ou d'un réseau ouvert au public, l'enjeu change de nature : paiements, données de milliers d'utilisateurs, disponibilité d'un service, et à l'horizon la stabilité du réseau électrique quand la recharge pilotée pèsera lourd. La réponse s'organise en couches : dialogue OCPP chiffré et authentifié dans ses versions récentes, cloisonnement réseau des bornes, supervision qui détecte les comportements anormaux, et processus de mise à jour de flotte orchestrés par l'exploitant.
Le cadre réglementaire suit le mouvement : les exigences européennes de cybersécurité des équipements connectés s'appliquent progressivement aux matériels de recharge, et les cahiers des charges publics intègrent désormais des clauses de sécurité explicites. Le critère se glisse dans tout appel d'offres sérieux, au même rang que la disponibilité.
Ce que ça change à l'achat et à l'exploitation
Pour le particulier, la traduction est un critère de choix de plus : une marque établie, des mises à jour régulières et documentées, une appli au sérieux reconnu. C'est un des filtres, discrets mais réels, que nous appliquons aux matériels que nous installons, nos pages par marque reflétant cette sélection.
Pour l'entreprise et la collectivité, la traduction est contractuelle : exiger les versions sécurisées des protocoles, les engagements de correctifs dans la durée, le cloisonnement réseau à la pose et la traçabilité des accès dans le contrat d'exploitation. La cybersécurité d'un parc n'est pas un produit qu'on achète une fois, c'est une hygiène que l'exploitant entretient : elle fait partie du métier de CPO, au même titre que la maintenance des connecteurs.