Sécurité des données télématiques de flotte : les mesures à exiger

Les mesures de sécurité qui comptent le plus pour les données télématiques de flotte sont le chiffrement des données en transit et au repos, un contrôle strict de l'accès à l'infrastructure infonuagique du fournisseur et un processus écrit de réponse aux incidents. Elles comptent parce que le risque est réel et documenté publiquement. En juillet 2026, un pirate a mis en vente ce qu'il présentait comme des données de suivi GPS en direct de milliers d'organisations clientes, tirées des systèmes de production d'un important fournisseur de télématique en Australie et en Nouvelle-Zélande. L'entreprise n'avait pas confirmé l'affirmation lors des premiers reportages, mais l'épisode montre que les positions en direct des flottes sont une cible.

L'incident n'est pas isolé. Upstream Security a recensé 494 incidents de cybersécurité dans l'automobile et la mobilité intelligente en 2025. Les incidents liés à une rançon ont plus que doublé par rapport à 2024 et représentaient 44 % du total, et 67 % provenaient des systèmes télématiques et infonuagiques.

L'usurpation GPS compte parmi les méthodes les plus perturbatrices. L'attaquant envoie à l'appareil des signaux satellites contrefaits ou rejoués pour qu'il indique une fausse position, ce qui peut cacher l'emplacement réel d'un chargement volé ou l'endroit où un véhicule est vraiment allé. Le brouillage est une attaque voisine qui bloque plutôt les signaux. L'échange de carte SIM (SIM swapping) est un autre vecteur courant : l'attaquant clone ou remplace à distance l'identité SIM que l'appareil télématique utilise pour communiquer, puis intercepte ou détourne les données que l'appareil devait transmettre à la plateforme.

Les données d'Upstream pointent dans la même direction : l'exposition se situe surtout dans la couche infonuagique et télématique, c'est-à-dire les serveurs, les API et les chaînes de données qu'une plateforme exploite en coulisses, plutôt que dans le boîtier GPS fixé dans le véhicule. Quand vous évaluez le risque, examinez cette couche en particulier, et pas seulement la résistance du matériel à l'altération.

Puisque le risque se concentre dans l'infrastructure infonuagique et les chaînes de données, vos questions au fournisseur doivent porter sur cette couche. Comment les données sont-elles chiffrées en transit et au repos? Qui a accès à l'infrastructure sous-jacente? Comment se déroule la réponse aux incidents quand quelque chose tourne mal? Un fournisseur qui répond avec précision, au lieu de servir une formule du type « nous prenons la sécurité au sérieux », vous donne de quoi évaluer sa plateforme.

Ces questions pèsent encore plus lourd pour les flottes du secteur public et des secteurs réglementés : une fuite de données y devient un problème de conformité et de confiance du public, bien au-delà du tracas opérationnel. Posez-les avant de signer, parce qu'après un incident, la réponse ne change plus rien.

Voici les questions à poser par écrit avant de signer, avec ce à quoi ressemble une réponse qui veut dire quelque chose.