La généralisation des services de mobilité partagée (covoiturage, VTC, autopartage, etc.) et l’essor des plateformes numériques s’accompagnent de défis croissants en matière de cybersécurité et de protection des données. En effet, le secteur des transports connectés et de la mobilité partagée est de plus en plus ciblé par des attaques informatiques :

• Incidents en forte hausse: Le secteur automobile et de la mobilité intelligente a subi 409 incidents en 2024 (contre 295 en 2023), soit une augmentation de 39%. Parmi ces incidents, on dénombre 108 attaques par ransomware et 214 fuites de données rien qu’en 2024. La majorité (60%) des incidents impliquent des vols de données ou atteintes à la confidentialité. (Plus d’infos ici)

• Vecteurs d’attaques: D’après un rapport 2023, 37% des incidents de cybersécurité automobiles étaient des vols de données (data breaches), la principale catégorie, suivis par les attaques de serveurs backend (40%). Les attaquants ciblent souvent les API et serveurs des services de mobilité connectée (voiture, applications, chargeurs électriques, etc.), révélant la vulnérabilité de ces nouvelles fonctionnalités.

En France, la CNIL estime qu’un Français sur deux a déjà vu ses données personnelles exposées suite à des fuites massives récentes (ex. attaques touchant Pôle Emploi/France Travail, la CAF, des entreprises de santé ou des sites web comme Leboncoin). À l’échelle mondiale, on compte des centaines de millions de personnes affectées par les fuites de données chaque année.

Face à ces menaces, la grande majorité des consommateurs se disent préoccupés par la confidentialité de leurs données. Par exemple, 86% des personnes interrogées considèrent la protection des données comme une préoccupation de plus en plus importante, et 68% s’inquiètent de la quantité d’informations personnelles collectées par les entreprises. De plus, 60% des consommateurs estiment que leurs données sont régulièrement mal utilisées par les entreprises, alimentant un climat de méfiance.

La sécurité des données est donc devenue un enjeu critique pour les services de mobilité partagée et les entreprises numériques. Les cyberattaques et fuites de données se multiplient – touchant tant les infrastructures (ransomwares, compromissions de serveurs) que les données clients (vols de données, expositions massives) – tandis que la confiance des utilisateurs est érodée par la crainte de voir leurs informations personnelles exploitées ou détournées. Ces chiffres soulignent l’importance de renforcer les mesures de cybersécurité et de protection de la vie privée dans ces secteurs en pleine expansion.

Découvrez dans notre dossier thématique, comment Mobility Tech Green protège vos données au quotidien !

Partie 1 : Sécurité et risques liés à l’autopartage : état des lieux et chiffres clés

Menaces croissantes et statistiques alarmantes

L’essor de l’autopartage s’accompagne de nouveaux risques numériques : cyberattaques ciblant les véhicules et leurs applications, vols de données sensibles et atteintes à la vie privée des usagers. Les incidents de cybersécurité dans la mobilité connectée sont en forte hausse. En Europe, il a même été signalé que les cyberattaques avaient doublé en 2022 par rapport à l’année précédente, illustrant la pression croissante sur le secteur. Parmi ces incidents, les violations de données et atteintes à la vie privée représentent près de 59 % des cas, devant les perturbations de service (55 %) et les intrusions dans les systèmes de véhicules (23 %). Ces attaques à grande échelle touchent souvent des milliers d’utilisateurs : plus de 60 % des incidents recensés affectent des « actifs » par millions (véhicules, bornes, comptes clients, etc.). Le coût financier est également non négligeable : le coût moyen d’une fuite de données a atteint 4,35 millions de dollars par incident en 2022 dans le monde. Face à ces menaces, les usagers s’inquiètent de la protection de leurs données personnelles (identités, coordonnées, informations de paiement), de la sécurité des véhicules eux-mêmes et du respect de leur vie privée lors de l’utilisation de ces services.

Exemples récents d’incidents marquants dans l’autopartage

Plusieurs affaires survenues ces dernières années illustrent concrètement ces risques :

Tendances récentes en cybersécurité dans l’autopartage

Les services d’autopartage font face à des attaques de plus en plus sophistiquées et à grande échelle. Une caractéristique notable est la prédominance des attaques à distance : plus de 92 % des attaques recensées dans l’écosystème automobile connecté sont menées sans contact direct, via Internet ou les réseaux mobiles (84 % étant même des attaques longue portée). Les pirates ciblent prioritairement les plateformes logicielles (applications mobiles, serveurs télématiques des véhicules, API cloud) car ce sont souvent des points d’entrée vulnérables. Dans de nombreux incidents, l’intrusion par ces vecteurs a permis aux attaquants de prendre le contrôle à distance de fonctions du service : par exemple, désactiver le suivi GPS d’un véhicule, déverrouiller les portières ou immobiliser une flotte. Ce type de compromis rend plus facile le vol du véhicule ou l’utilisation non autorisée, tout en retardant la détection.

On observe également une professionnalisation des cybercriminels ciblant la mobilité. Les données volées lors d’attaques contre l’autopartage (profils clients, historiques de trajets, coordonnées, etc.) sont très prisées. Elles peuvent être revendues en lot sur les forums clandestins, où elles servent ensuite à des vols d’identité, campagnes de phishing personnalisées ou fraudes diverses. Dans le cas de Blink Mobility, les experts soulignent que des informations de localisation détaillées pourraient même être exploitées pour suivre les mouvements d’utilisateurs spécifiques, manipuler des réservations de voitures ou commettre des actes malveillants sur le terrain. Par ailleurs, le recours aux rançongiciels (ransomware) devient une tendance inquiétante dans le secteur automobile : ces logiciels d’extorsion ciblent aussi bien les systèmes informatiques d’entreprises de mobilité que les systèmes embarqués. Ils peuvent paralyser les opérations pendant des semaines – comme ce fut le cas en 2023 pour un important fournisseur de services aux concessionnaires automobiles, impactant indirectement la disponibilité de véhicules et de services pour les clients. L’ensemble de ces tendances indique que la cybersécurité est désormais un enjeu central de la confiance dans l’autopartage, au même titre que la sécurité physique des véhicules. Les acteurs du secteur investissent donc dans des solutions de protection renforcées (chiffrement des données, authentification multi-facteur, surveillance des systèmes en temps réel, programmes de bug bounty, etc.) pour contrer des menaces en constante évolution.

Cadre réglementaire et protection des données des usagers

La réglementation impose aux opérateurs d’autopartage de respecter des normes strictes en matière de protection des données et de sécurité informatique. Le Règlement Général sur la Protection des Données (RGPD), applicable dans toute l’UE, est le texte central : il exige que toute entreprise traitant des données personnelles mette en place des mesures techniques et organisationnelles appropriées pour en assurer la sécurité (intégrité, confidentialité). Concrètement, cela signifie par exemple chiffrer les données sensibles, restreindre strictement les accès aux informations clients, et concevoir les applications selon les principes de « privacy by design ». Le RGPD oblige également à tenir un registre interne des incidents, à réaliser une Analyse d’Impact sur la Protection des Données (AIPD) préalablement pour les traitements présentant des risques élevés (ce qui est souvent le cas de la géolocalisation en temps réel des véhicules et utilisateurs), puis à notifier la CNIL (en France) de toute violation de données dans les 72h lorsqu’elle présente un risque pour les personnes, et à informer les personnes concernées en cas de risque élevé. En cas de manquement, les sanctions prévues sont dissuasives : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise.

Les autorités de protection des données ont d’ailleurs commencé à sévir dans le domaine de la mobilité partagée. En mars 2023, la CNIL a prononcé une sanction de 125 000 € contre Cityscoot (service de scooters en libre-service) pour collecte excessive de données de géolocalisation sans base légale suffisante ni mesures adéquates de limitation. L’enquête a révélé que les scooters transmettaient leur position GPS toutes les 30 secondes en continu, y compris hors des cas strictement nécessaires (sécurité des usagers, assistance, gestion des vols), ce qui enfreignait le principe de minimisation des données. Le régulateur européen (EDPB) rappelle en effet que les données de localisation sont particulièrement intrusives, pouvant révéler les habitudes de vie, le domicile ou même des informations sensibles (religion, santé, vie privée) d’une personne, et ne devraient être collectées que si absolument indispensables à la fourniture du service. Cet exemple souligne l’importance pour les opérateurs d’autopartage de clarifier les finalités de chaque donnée collectée (ex. localisation uniquement en cas de location en cours, et non en permanence) et d’informer clairement les utilisateurs, sous peine de sanctions.

En plus du RGPD, les entreprises d’autopartage s’alignent souvent sur des normes de sécurité de l’information reconnues afin de rassurer les utilisateurs et les partenaires. Par exemple, plusieurs opérateurs ont obtenu la certification ISO/IEC 27001, une norme internationale qui atteste de la mise en place d’un Système de Management de la Sécurité de l’Information robuste.

Enfin, il existe des réglementations techniques spécifiques pour renforcer la sécurité des véhicules connectés utilisés par l’autopartage. Depuis juillet 2022, une réglementation des Nations Unies (règlement UNECE WP.29) impose aux constructeurs automobiles vendant en Europe d’intégrer un système de gestion de la cybersécurité dans leurs voitures, et de respecter une trentaine d’exigences de sécurité tout au long du cycle de vie du véhicule. Tous les nouveaux modèles homologués doivent s’y conformer, ce qui signifie que les véhicules mis en autopartage intègrent nativement des protections contre le piratage de leurs systèmes électroniques. Cette régulation, couplée à la norme ISO/SAE 21434 sur la cybersécurité automobile, vise à réduire les vulnérabilités « embarquées » (verrouillage à distance, bus CAN, etc.) exploitables par des hackers. Pour les opérateurs d’autopartage, cela se traduit par une meilleure confiance dans les véhicules qu’ils mettent à disposition, même s’ils doivent en parallèle sécuriser toute la couche logicielle et backend du service. En somme, le cadre actuel – entre RGPD, interventions des CNIL, normes ISO et règlements sectoriels – pousse l’ensemble de l’écosystème de l’autopartage à élever son niveau de sécurité informatique et de protection des données, afin de préserver la confiance des utilisateurs tout en profitant des innovations de la mobilité connectée.

Partie 2 : Norme ISO 27001 : exigences et application dans l’autopartage

Qu’est-ce que la norme ISO 27001 ?

La norme ISO/IEC 27001 est un standard international de sécurité de l’information qui définit les exigences d’un Système de gestion de la sécurité de l’information (SGSI). Son objectif est d’aider les organisations à protéger leurs informations sensibles en les gérant de manière sécurisée et structurée. En pratique, adopter l’ISO 27001 signifie mettre en place un cadre de politiques et de procédures pour identifier, évaluer et traiter les risques liés à la sécurité des données. Cette norme est largement adoptée à travers le monde (des milliers d’entreprises certifiées dans plus de 100 pays) et elle est particulièrement cruciale dans les secteurs où la protection des données est essentielle pour maintenir la confiance des clients et respecter les exigences réglementaires. Obtenir la certification ISO 27001, délivrée par un organisme indépendant, atteste de l’engagement d’une organisation à suivre les meilleures pratiques de sécurité informatique et à maintenir un haut niveau de protection des données.

Principales exigences de la norme ISO 27001

Pour être conforme à ISO 27001, une entreprise doit mettre en œuvre un ensemble de mesures organisationnelles et techniques dans le cadre d’un système de management de la sécurité de l’information. Parmi les principales exigences figurent :

• Définition du contexte et du périmètre: délimiter le champ d’application du SGSI, comprendre le contexte de l’entreprise (ses activités, les parties prenantes, les exigences légales) et recenser les actifs informationnels et les risques associés.
• Engagement de la direction: impliquer la direction dans la démarche de sécurité, avec un soutien visible, la définition de politiques de sécurité de l’information et la désignation de rôles et responsabilités clairs pour la gestion du SGSI.
• Analyse des risques et planification: identifier les menaces et vulnérabilités pesant sur les données, évaluer les risques, puis planifier des traitements adaptés. Cela inclut le choix des contrôles de sécurité à appliquer pour réduire les risques en fonction d’objectifs précis.
• Mise en œuvre de contrôles et procédures: déployer des contrôles de sécurité (techniques et organisationnels) issus d’ISO 27001 (et son annexe de mesures) tels que le contrôle des accès, la gestion des identités, le chiffrement des données sensibles, la protection des réseaux, la gestion des incidents et la continuité d’activité. Documenter ces procédures et les rendre effectives dans l’entreprise.
• Support et sensibilisation: allouer les ressources nécessaires (humaines, financières, outils) pour faire vivre la sécurité, et assurer la formation et la sensibilisation du personnel afin de promouvoir une culture de la sécurité.
• Surveillance et évaluation: suivre régulièrement la performance du SGSI (à travers des indicateurs, des revues de direction, etc.), réaliser des audits internes périodiques et des contrôles pour s’assurer que les politiques sont respectées et efficaces.
• Amélioration continue: corriger les failles ou non-conformités identifiées et améliorer en permanence le système. ISO 27001 adopte le cycle PDCA (Plan-Do-Check-Act), encourageant une mise à jour régulière des mesures de sécurité en fonction de l’évolution des risques.

Application de l’ISO 27001 dans la mobilité et l’autopartage

Le secteur de la mobilité et de l’autopartage est particulièrement concerné par la sécurité de l’information, car les plateformes collectent et traitent une grande quantité de données sensibles sur les utilisateurs. Celles-ci incluent des données personnelles d’inscription, des informations de paiement, des historiques de trajets et des données de localisation en temps réel pour les véhicules partagés. La gestion de ces informations nécessite des mesures de sécurité avancées pour prévenir les risques de piratage, d’usurpation d’identité ou de fraude, qui pourraient non seulement impacter financièrement l’entreprise mais aussi compromettre la vie privée et la sécurité des utilisateurs.

L’ISO 27001 sert de cadre de référence aux opérateurs de mobilité pour sécuriser ces données et leurs systèmes. En appliquant la norme, ces entreprises effectuent d’abord une évaluation des risques spécifiques à leurs services : par exemple, risques liés aux applications mobiles d’autopartage, aux boîtiers connectés dans les véhicules, ou à l’interconnexion avec des services cloud. Ensuite, elles déploient des contrôles de sécurité adaptés : chiffrement des données (pour rendre illisibles les informations interceptées) aussi bien dans les applications mobiles que sur les serveurs, systèmes d’authentification renforcée (par exemple l’authentification unique Single Sign-On pour réduire la prolifération de mots de passe faibles) et surveillance des accès aux systèmes pour détecter toute activité anormale. Un accent particulier est mis sur la protection de la vie privée : en Europe, le RGPD impose des règles strictes sur la collecte et le traitement des données personnelles, et la mise en conformité ISO 27001 aide les acteurs de l’autopartage à structurer leurs processus de manière à respecter ces obligations (par exemple, gestion des consentements, minimisation des données collectées, procédures en cas de violation). Souvent, ces entreprises nomment un DPO (Data Protection Officer) ou équivalent, chargé de veiller à la conformité réglementaire et de sensibiliser en interne sur la protection des données – chez Mobility Tech Green, par exemple, le DPO intervient dès la phase de contractualisation avec les clients pour assurer la bonne conformité des systèmes.

En appliquant ISO 27001, les sociétés d’autopartage intègrent aussi des politiques de sécurité dès la conception (security by design) de leurs applications et services : par exemple, chiffrer les communications entre l’application et le véhicule, segmenter les réseaux pour isoler les systèmes critiques, ou encore définir des procédures strictes de gestion des clés numériques utilisées pour l’ouverture des voitures à distance. Elles mettent en place des plans de réponse aux incidents afin de réagir rapidement en cas de suspicion de cyberattaque, limitant ainsi l’impact sur les utilisateurs. L’ISO 27001 encourage également la continuité de service – crucial dans la mobilité – en prévoyant des sauvegardes régulières des données et une redondance des systèmes pour éviter des interruptions du service d’autopartage en cas d’incident majeur.

Exemples concrets d’application dans l’autopartage

De nombreuses entreprises du domaine de la mobilité ont adopté ISO 27001 pour sécuriser leurs services au quotidien. Mobility Tech Green a par exemple obtenu en 2023 la certification ISO/IEC 27001 (version 2022). Pour y parvenir, nous avons mis en place un ensemble d’actions concrètes : définition de politiques de sécurité de l’information couvrant l’ensemble de ses processus, renforcement du contrôle des accès à ses plateformes, et déploiement du chiffrement des données utilisateurs à chaque étape du traitement. Nous avons également instauré l’authentification Single Sign-On (SSO) pour nos clients, afin de simplifier et sécuriser la connexion aux services tout en réduisant les risques liés à la gestion de multiples mots de passe. En interne, nous insistons également sur la formation continue de nos employés aux bonnes pratiques de sécurité et effectue des audits réguliers de ses systèmes pour vérifier le respect des procédures. Cet engagement se traduit par une meilleure protection des données (aucune donnée personnelle n’étant accessible sans autorisation) et une plus grande confiance des utilisateurs, qui savent que la plateforme gère leurs informations selon des normes strictes.

D’autres acteurs de l’autopartage et de la mobilité connectée ont suivi la même voie. Par exemple, la plateforme internationale de carsharing Getaround a annoncé en 2024 avoir obtenu la certification ISO 27001, soulignant son engagement à maintenir les normes les plus élevées de sécurité de l’information et de protection des données pour ses utilisateurs et partenaires. La réussite de cet audit de certification valide le caractère robuste des politiques, procédures et contrôles mis en place par Getaround pour gérer et protéger les données sensibles de sa plateforme.

Partie 3 : Mesures techniques de sécurité

Quelles mesures de sécurité pour mon service d’autopartage ?

• Chiffrement des données – Mobility Tech Green applique le chiffrement pour protéger les informations sensibles de ses utilisateurs à chaque étape. Ainsi, les données interceptées seraient illisibles pour toute personne non autorisée. Cette pratique standard de l’industrie garantit la confidentialité des données, tant en transit qu’au repos.
• Authentification renforcée (Single Sign-On) – Pour sécuriser l’accès à ses services, Mobility Tech Green propose l’authentification par SSO (Single Sign-On). Les utilisateurs n’ont besoin que d’un seul identifiant/mot de passe sécurisé pour accéder à l’ensemble des plateformes, ce qui simplifie l’expérience et réduit les risques liés à la gestion de multiples mots de passe. En diminuant le nombre de credentials en circulation, le SSO contribue à réduire les attaques de phishing réussies et homogénéise les règles de sécurité d’accès sur tous les outils.
• Protection des API et des communications – L’entreprise déploie des protocoles de sécurité avancés pour ses interfaces et échanges de données. Par exemple, toutes les communications client-serveur (applications, API) sont chiffrées via HTTPS/TLS, empêchant les interceptions malveillantes. De plus, des mécanismes d’authentification aux API (clés sécurisées, jetons d’accès) assurent que seuls les services et utilisateurs autorisés peuvent interagir avec le système. Consciente que la centralisation des données expose à des cyberattaques, l’équipe technique maintient une vigilance permanente : pare-feu, protections anti-intrusion et gestion proactive des vulnérabilités font partie intégrante de l’architecture pour bloquer les accès non autorisés.
• Hébergement et infrastructure sécurisés – Les données et applications de Mobility Tech Green sont hébergées en France sur des serveurs hautement sécurisés. Ces serveurs disposent de certifications reconnues telles que ISO 27001 et SOC-1 Type 2, gages de conformité aux normes de sécurité strictes. Cela assure un haut niveau de protection physique et logique (contrôles d’accès aux centres de données, redondance, sauvegardes chiffrées), renforçant la fiabilité de l’infrastructure.
• Sécurité des véhicules connectés – Au-delà des données, Mobility Tech Green protège aussi les véhicules de sa flotte d’autopartage grâce à la technologie. Un système d’anti-démarrage intelligent empêche le démarrage du véhicule par une personne non autorisée : seul le conducteur dûment identifié avec une réservation valide peut lancer le moteur. En cas de tentative de vol, le véhicule peut être localisé en temps réel pour une intervention rapide. Par ailleurs, des systèmes de télématique avancée embarqués offrent un suivi continu de l’état et de la position des voitures. Ils permettent de détecter rapidement toute anomalie, de dissuader les actes malveillants et de prévenir les pannes ou accidents en recueillant des données techniques en temps réel. Enfin, Mobility Tech Green a développé la fonction e-Access™ de verrouillage/déverrouillage à distance via smartphone, qui remplace les clés physiques. Non seulement cela apporte de la commodité, mais cela élimine le risque de vol lié à la perte de clés : l’accès aux véhicules se fait de manière chiffrée et contrôlée par l’application mobile ou un badge sécurisé.

Mesures organisationnelles de sécurité

• Certification ISO 27001 et politiques internes – Mobility Tech Green place la sécurité au cœur de sa stratégie, ce qu’illustre l’obtention de la certification ISO/IEC 27001 (version 2022) pour son système de management de la sécurité de l’information. Cette certification internationale a nécessité l’implémentation de politiques internes strictes de gestion des risques et de contrôle des accès aux informations. Autrement dit, l’entreprise a formalisé des règles précises sur la façon de protéger les données (politiques de mots de passe, gestion des droits d’accès, procédure de chiffrement, etc.) et sur la manière d’évaluer et traiter les risques de sécurité. Être certifiée ISO 27001 implique également de respecter un processus d’amélioration continue de la sécurité : révision régulière des procédures, mises à jour des politiques, et contrôles de conformité permanents.
• Conformité RGPD et gouvernance des données – En Europe, la protection des données personnelles est encadrée par le RGPD. Mobility Tech Green s’y conforme strictement, garantissant une gestion transparente et sécurisée des données utilisateur, ce qui évite les sanctions pouvant aller jusqu’à 4 % du chiffre d’affaires mondial. L’entreprise a nommé un DPO (Data Protection Officer) dédié, qui intervient dès la phase de contractualisation avec les clients pour s’assurer que les traitements de données prévus respectent bien toutes les exigences légales en matière de confidentialité. Ce suivi proactif assure que chaque nouveau projet ou fonctionnalité intègre dès le début les principes de minimisation des données, de consentement et de sécurisation adaptés. Par ailleurs, Mobility Tech Green veille à informer clairement les utilisateurs sur l’usage de leurs données et à leur donner le contrôle (droits d’accès, suppression, etc.), renforçant ainsi la transparence et la confiance.
• Audits de sécurité et amélioration continue – Pour garantir un haut niveau de sécurité sur la durée, Mobility Tech Green procède à des audits réguliers de ses systèmes et processus. L’obtention et le maintien de la certification ISO 27001 exigent en effet des revues internes approfondies des procédures de sécurité, des tests d’efficacité des mesures en place, ainsi qu’un engagement à améliorer continuellement le dispositif. Des audits internes (et éventuellement externes) sont planifiés afin d’identifier les faiblesses potentielles et d’y remédier de façon préventive. De plus, l’entreprise investit dans des solutions de supervision pour surveiller en permanence ses infrastructures et applications, de sorte à détecter rapidement toute anomalie ou tentative d’intrusion. En cas d’alerte, des procédures de réponse aux incidents sont prévues pour isoler la menace, corriger la faille et informer les parties prenantes le cas échéant. Ce cycle d’audit et d’amélioration continue permet à Mobility Tech Green de rester à jour face aux nouvelles cybermenaces et de s’adapter aux évolutions technologiques.
• Formation et sensibilisation du personnel – La sécurité n’est pas qu’une affaire de technologies : Mobility Tech Green mise aussi sur la sensibilisation de ses employés. Dans le cadre du programme ISO 27001, l’entreprise assure une formation continue de ses équipes aux meilleures pratiques de sécurité informatique. Chaque collaborateur est éduqué sur les enjeux de la cybersécurité, les politiques internes à respecter et les réflexes à adopter (par exemple, gestion des mots de passe, détection des emails de phishing, protection des postes de travail, etc.). Cette montée en compétence collective crée une véritable culture de sécurité au sein de l’organisation.

Partie 4 : Entretien avec le DPO de Mobility Tech Green 

Conclusion

La sécurité est au cœur des priorités de Mobility Tech Green. L’entreprise s’engage fermement à protéger les données et les infrastructures en déployant des mesures de sécurité rigoureuses conformes aux meilleures normes du secteur. Ces mesures garantissent aux clients comme aux employés un service fiable et sécurisé au quotidien. Cet engagement continu en matière de sécurité renforce la confiance de tous et témoigne de la volonté de l’entreprise d’offrir un environnement numérique sans compromis sur la sécurité.

Pour toute question ou information supplémentaire, n’hésitez pas à nous contacter. Nous vous invitons également à rejoindre le Lab’ et à continuer à collaborer avec nous pour transformer la mobilité durable.

À très bientôt pour de nouvelles innovations avec Mobility Tech Green !