Les trottinettes Bird sont piratables avec un tournevis et 30 € (et la startup n’aime pas qu’on en parle)

Mise à jour juin 2019 : Un mois après la publication de notre article, Bird a finalement changé changé l’intégralité de sa flotte de trottinettes de marque Xiaomi, très facilement piratables, comme nous le montrions. Pour comprendre comment un tel hack était possible, vous pouvez encore lire notre enquête de l’époque ci-dessous.

Article original du 8 février 2019 :

Si vous habitez dans une grande ville, vous n’avez pas pu les louper : les trottinettes électriques en libre service ont envahi les routes et les trottoirs. Après LimeBike qui est arrivé en premier à Paris en juin 2018, Bird lui a emboité le pas le 1er août, déposant ses trottinettes noires un peu partout dans la capitale.

Que ce soit outre Atlantique ou dans l’hexagone, Bird s’est imposé comme un des acteurs incontournables du marché des trottinettes en libre-service, même si d’autres comme Txfy ou Wind sont depuis entrés dans la course.

Malgré les intempéries et les polémiques liées aux conditions de travail des « chargeurs » auto-entrepreneurs, la firme américaine continue de prendre de la valeur. Mais il y a un phénomène que l’entreprise n’apprécie pas du tout que l’on pointe du doigt : la facilité avec laquelle il est possible de détourner ses trottinettes pour les « privatiser ».

Bird

Source : Louise Audry pour Numerama

Bird : 0,  effet Streisand : 1

Le journaliste indépendant Cory Doctorow en a fait les frais au début du mois de janvier 2019, lorsqu’il a reçu un courrier très formel du service juridique de Bird qui l’enjoignait à retirer un article du blog Boing Boing sur lequel il écrit. L’article en question, publié le 8 décembre 2018, montrait en quelques paragraphes que, sur certains forums américains, des internautes s’échangeaient une astuce bien spécifique pour « détourner » une trottinette Bird avec un simple « kit à 30 dollars ».

L’entreprise de location de trottinettes électriques en libre service n’a pas du tout apprécié la démarche, affirmant que l’article entrait en violation avec une loi anti-trafic américaine car il promouvait l’existence de système qui permettent de détourner la licence de fonctionnement de leurs appareils. Mais Doctorow ne s’est pas laissé faire et a publié en intégralité la lettre de Bird, affirmant son refus net de supprimer son article.

Vivement critiquée pour sa réaction, l’entreprise a finalement fait marche arrière après que des gros médias tech comme The Verge ou TechCrunch ont partagé l’information. « Dans sa quête pour endiguer les activités illégales en rapport avec nos véhicules, notre équipe juridique est allée trop loin et a envoyé cette demande de retrait (…) C’était une erreur et nous présentons nos excuses à Cory Doctorow », a fait savoir la porte-parole de l’entreprise. Mais il était trop tard pour lutter contre l’effet Streisand : la tactique a circulé beaucoup plus que si Bird n’avait jamais tenté de la contenir.

Pourquoi est-il si facile de voler une trottinette Bird ?

Dans sa réponse, Cory Doctorow insistait sur le fait que la manœuvre qui était partagée sur les forums n’avait, au fond, rien d’un système de piratage high-tech, mais plutôt une méthode simpliste contre laquelle Bird aurait des moyens pour lutter elle-même — l’entreprise aurait choisi de ne pas le faire pour… économiser de l’argent.

Nous avons donc cherché à savoir si Bird pouvait se prémunir de cette tactique de détournement, qui permet à n’importe qui de s’accaparer un véhicule de l’entreprise, sans qu’elle n’ait aucun moyen d’agir. Nous avons contacté des experts du sujet et avons également pu observer la méthode en action.

Ce qui distingue Bird de ses concurrents, c’est la marque de ses trottinettes : les Xiaomi M365 (appelées Mi Electric Scooter en France) sont très appréciées des particuliers car bénéficiant d’un bon rapport qualité-prix. Mais cette popularité joue aussi en sa défaveur : il est très facile de commander n’importe quelle pièce détachée en ligne. L’un de ces composants est un petit circuit imprimé à moins de 30 dollars qui permet de libérer la trottinette des quelques « contraintes » ajoutées par le circuit de Bird.

Photo: Numerama

Nous avons pu assister à la manœuvre de visu et sommes en mesure de confirmer qu’elle fonctionne parfaitement. Pour des raisons légales, nous ne pouvons évidemment pas la détailler en entier, mais la méthode est extrêmement simple et ne demande pas grand chose de plus qu’un tournevis et un peu de jugeote. Sur les forums que nous avons consultés ainsi que sur Reddit ou Twitter, les utilisateurs s’échangent surtout des noms de sites internet où commander ladite pièce, qui est en plus un élément officiel commercialisé légalement par le constructeur.

« La seule raison pour laquelle cette technique fonctionne, c’est que ce sont des modèles de trottinettes existants. On est sur du matériel standard connu, qui a en plus été conçu pour être facilement modifiable », nous explique Pierre Dandumont, journaliste spécialisé notamment en électronique chez nos confrères de Canard PC Hardware.

Il existe ainsi de nombreux tutos en ligne où des internautes montrent comment changer certaines pièces du Mi Electric Scooter de Xiaomi. Ils peuvent aussi bien être suivis par des particuliers que par des personnes malintentionnées. Nous avons par exemple trouvé une vidéo YouTube vue 12 000 fois qui montre comment changer le fameux circuit imprimé à partir d’une trottinette Bird, en moins de 10 minutes. Dans les commentaires, les internautes se réjouissent.

YouTube

Contactée par Numerama, Xiaomi se veut pragmatique. L’entreprise chinoise nous indique qu’elle « ne peut être tenue responsable de la modification de ses produits par des tiers, ni des conséquences de ces mêmes modifications. » Après tout, qui pourrait en vouloir à une entreprise de proposer des pièces de rechange à bas prix pour ses modèles phares ? À ce jour, la technique est toujours viable.

Bird a-t-il les moyens de lutter contre ce phénomène ?

Bird devrait-il déployer plus de moyens pour empêcher que les trottinettes Xaomi qu’il utilise soient si facilement détournées ? Interrogé par mail à propos de cette technique, Bird nous a indiqué avoir « connaissance de ce problème et travaille[r] actuellement à l’élaboration de mesures visant à le prévenir. »

Certains solutions pourraient être mises en place par Bird pour endiguer efficacement ces vols : placer des verrous spéciaux pour empêcher l’ouverture du cadran, souder certains composants, modifier les trottinettes pour que le circuit ne soit pas aussi accessible, placer une puce GPS à un autre endroit pour que le véhicule reste traçable… Mais tout ceci coûte de l’argent, et la firme n’a peut-être pas tant d’intérêt à en dépenser à cet endroit.

Des trottinettes Lime.

Source : Pixabay/CC0 photo recadrée

Au vu de la très vive réaction après l’article de BoingBoing, il est évident que Bird prend au sérieux ces pratiques illégales. Pour autant, il est possible se demander si le pourcentage de trottinettes « détournées » de la sorte n’est pas anecdotique par rapport à la masse totale de véhicules endommagés.

C’est un secret de polichinelle : se lancer sur le marché des trottinettes électriques en libre-service revient à brûler beaucoup de cash. Entre vandalisme et techniques de « privatisation » en tout genre, le nombre d’appareils inutilisables à la fin de chaque mois est colossal. Bien sûr, les entreprises ne communiquent pas officiellement sur la proportion de véhicules endommagés, mais dans l’industrie, on parle de 30 % à 50 % du parc qui serait inutilisable.

Début janvier 2019, Bird levait 300 millions de dollars supplémentaires. Un mois plus tard, LimeBike, qui se tire la bourre avec Bird pour décrocher le statut de leader sur le marché, a à son tour levé 310 millions de dollars, le 7 février 2019. Les firmes qui travaillent sur ce segment ont besoin d’énormément de liquidités pour financer le renouvellement obligatoire de leurs parcs de véhicules. Avec un objectif en tête : inonder le marché pour devenir numéro un du secteur. Les deux startups sont aujourd’hui valorisées à plus de 2 milliards de dollars chacune.

Depuis ses début, Bird a fait des économies en misant sur une trottinette Xiaomi standard, contrairement à LimeBike qui dépense plus d’argent pour des engins personnalisés.  « Si quelqu’un essaie de retirer un composant, il ne pourra pas être utilisé ailleurs. Tout est fait sur-mesure, du coup ils n’ont pas de valeur », avait vanté un porte-parole de Lime dans un récent article de Mashable.  Cette stratégie, beaucoup plus onéreuse, lui permet aussi de se prémunir contre les détournements.

Si Bird prenait la même décision et commençait à modifier ses appareils pour endiguer les vols, la compagnie risquerait de devoir dépenser des sommes considérables et, de fait, perdre son avantage compétitif. Mais en laissant les utilisateurs malveillants détourner si facilement ses trottinettes, la marque doit forcément accepter que son image en prenne un coup.