Attaque «Bus Driver» : un dispositif Wi-Fi à 100 $ capable de pirater le pilote automatique d'un Boeing 737 en 60 secondes

Le 13 août 2026, lors du 35e USENIX Security Symposium à Baltimore, une équipe de chercheurs de l'Université de Californie à San Diego (UC San Diego) et de l'Oberlin College a présenté une preuve de concept aussi inquiétante qu'ingénieuse : l'attaque «Bus Driver» . Celle-ci utilise un implant matériel de la taille d'une pièce de monnaie (un quart de dollar américain, soit environ 2,4 cm de diamètre) et équipé du Wi-Fi pour prendre le contrôle du pilote automatique et des systèmes de gestion de vol des Boeing 737 Next Generation et MAX . Le tout pour un coût de fabrication inférieur à 100 dollars et en moins d'une minute d'accès physique à l'appareil .

Comment fonctionne l'attaque «Bus Driver» ?

Les chercheurs, menés par l'ancien doctorant de l'UC San Diego Sam Crow, ont conçu, construit et programmé un petit circuit imprimé qui agit comme un dispositif tiers malveillant, s'intercalant entre deux ordinateurs de bord critiques . Voici le déroulement de l'attaque :

Installation physique en moins de 60 secondes

Le dispositif s'installe en ouvrant une trappe extérieure sur le fuselage de l'avion, donnant accès à la soute électronique (E&E bay) . Un attaquant peut ouvrir cette trappe en environ 15 secondes, sans outil particulier, puis brancher l'implant sur un port de maintenance exposé de l'Onboard Maintenance Computer (OMC) . L'ensemble du processus prend moins de 60 secondes, et le dispositif est suffisamment petit pour se cacher sous le cache-poussière du port, le rendant invisible lors des inspections de routine .

Exploitation du bus avionique ARINC 429

Une fois connecté, l'implant s'introduit dans le bus de données avioniques ARINC 429 non chiffré, un bus série à maître unique qui transporte toutes les communications entre le Flight Management Computer (FMC) et le Multifunction Control and Display Unit (MCDU) du pilote . L'ARINC 429 n'intègre aucune authentification ni chiffrement. Plus crucial encore, sa conception électrique utilise des résistances d'adaptation d'impédance qui permettent à un dispositif malveillant de supplanter électriquement les signaux légitimes en envoyant un courant plus fort sur les lignes du bus que l'émetteur autorisé . Les chercheurs ont appelé cette technique de suppression de signal l'attaque «Bus Driver» .

Ce que l'implant peut modifier

Une fois le bus pris en contrôle, l'implant peut injecter des commandes falsifiées pour :

• Modifier les points de route et dérouter l'avion de sa trajectoire programmée
• Altérer les calculs de poids au décollage, ce qui affecte directement les V-speeds (la vitesse de rotation nécessaire au décollage)
• Modifier les valeurs de température extérieure et de quantité de carburant, ce qui change les calculs de performances critiques

Furtivité : l'affichage trompeur pour le pilote

Simultanément, le dispositif envoie de fausses données aux écrans du cockpit, de sorte que le pilote voie le plan de vol original et inchangé – masquant ainsi toutes les modifications . Le pilote ne verrait aucune alerte ni divergence sur l'écran du MCDU, ce qui rend l'attaque extrêmement difficile à détecter depuis le poste de pilotage .

Contrôle Wi-Fi en vol

L'implant comprend une radio Wi-Fi, permettant à un attaquant d'envoyer des commandes sans fil en temps réel, voire de déployer une mise à jour logicielle malveillante pendant que l'avion est en vol . Cela signifie que le dispositif peut être contrôlé dynamiquement depuis son installation jusqu'à la fin du vol.

La réponse de Boeing

L'équipe de recherche a d'abord signalé la vulnérabilité à Boeing en 2020, puis a collaboré étroitement avec le constructeur pour tester et valider l'attaque dans le propre laboratoire de Boeing .

En réponse, Boeing a publié une déclaration minimisant le risque pratique : «Nos experts techniques sont confiants que les couches de protection en place sur l'avion, notamment dans la conception du système et l'environnement opérationnel, fournissent une atténuation suffisante pour limiter considérablement la faisabilité et le risque d'attaques dans le monde réel» . Boeing a également déclaré avoir mené sa propre revue des conceptions, installations et interfaces des composants concernés en réponse aux conclusions des chercheurs .

Mesures d'atténuation recommandées

Les chercheurs ont proposé une série de mesures pour remédier à la vulnérabilité, notamment :

• Bloquer physiquement l'accès au port OMC/de service externe, par exemple avec des panneaux verrouillables ou des sceaux inviolables
• Améliorer l'isolation électrique sur le bus ARINC 429 pour rendre les attaques de type «bus driver» plus difficiles
• Ajouter une authentification cryptographique aux messages ARINC 429
• Mettre en œuvre une fusion de capteurs et une vérification croisée afin que les écarts entre les paramètres de vol soient détectés par des systèmes redondants
• Améliorer les alertes au cockpit pour que les pilotes soient informés des divergences entre les données du FMC et de l'affichage

Les chercheurs ont souligné que leurs conclusions ne nécessitent pas de clouer la flotte au sol, mais appellent plutôt à des améliorations pratiques et à court terme de la sécurité physique et de l'intégrité des bus avioniques .