Le cas My Eicher ne doit pas être raconté comme une prise de contrôle physique de camions sans preuve. Le sujet réel est déjà assez sérieux: selon le chercheur, des failles ordinaires d’API et d’identité pouvaient exposer comptes, données de véhicules, localisation GPS et documents de conducteurs à grande échelle.

Dashboard API de flotte connectée avec véhicules, contrôle d’authentification et documents privés

Dans une flotte connectée, le plan de contrôle quotidien est souvent un tableau de bord web: tracking GPS, véhicules, chauffeurs, maintenance, documents, alertes et administration. Si ce tableau de bord est faible, le risque touche la vie privée, les opérations et la confiance client, même sans contrôle physique du véhicule.

Eaton Works a publié son analyse le 27 juillet 2026. Le post affirme que VE Commercial Vehicles, joint venture entre Volvo Group et Eicher Motors, maintient My Eicher pour des clients indiens de véhicules commerciaux. La page officielle le présente comme un système de fleet management et vehicle GPS tracking.

La chronologie appelle au calme. Le chercheur dit avoir signalé le problème le 3 novembre 2025, relancé le 10 et le 17, puis constaté que l’accès principal aux APIs internes n’était plus possible le 20 novembre. La publication est arrivée bien plus tard.

La chaîne technique est familière: chemin d’API exposé, découverte de routes internes ou admin, manque d’authentification, accès à des enregistrements customers, users, persons, vehicles and documents. Le risque augmente avec le flux OTP: le post affirme qu’une API permettait de retrouver des OTP records par numéro mobile, ouvrant la voie à account takeover.

Les chiffres demandent prudence. Eaton Works cite environ 748k customers, 174k users, 186k persons, 676k vehicles et 76k documents d’après l’API. Le post mentionne aussi des chiffres publics 2024 plus bas: 275k vehicles et 115k customers. La différence n’est pas expliquée.

Les documents exposés sont le point le plus concret pour les équipes privacy. Le chercheur parle de Aadhaar cards et driving licences. Ce type de donnée peut servir à fraude, doxing, harcèlement et récupération de comptes.

Account takeover ne signifie pas steering ou braking à distance. Après prise de compte, le post décrit des listes de véhicules, une carte GPS live, du tracking, des vues télématiques et des fonctions de gestion. C’est déjà un risque opérationnel. Inutile d’ajouter un scénario hollywoodien.

Hacker News a vite repris l’affaire: Firebase affichait 147 points et 49 comments lors de la vérification. Les questions étaient utiles: que veut dire “control”, pourquoi des APIs internes étaient accessibles, et que doivent exiger les clients d’un fournisseur télématique?

Pour les opérateurs de flotte, le dashboard doit être évalué comme un SaaS critique: API inventory, tenant isolation, design d’authentification, politique OTP, password reset controls, audit logs, notification d’incident et procédure de disclosure.

Pour les développeurs, la leçon est simple. Les OTP doivent expirer vite et ne pas être récupérables en masse. Les reset password flows ont besoin d’autorisation, notification et audit. Chaque backend endpoint doit vérifier l’autorisation tenant, pas seulement l’interface.

La bonne réponse n’est pas la peur. C’est de l’ingénierie: APIs authentifiées, secrets courts, contrôles tenant partout, monitoring des accès massifs aux documents ou GPS, incident response testé et communication claire avec les clients.