Trois heures du matin, un samedi. Le téléphone sonne. C'est mon frère, paniqué : sa caméra de salon vient de lui envoyer une notification de mouvement. Il est seul chez lui, la caméra est dans le salon, et il n'y a personne. Il l'a achetée deux ans plus tôt, l'a branchée, scannée un QR code, et n'y a plus jamais touché. Mot de passe d'usine. Firmware jamais mis à jour. Port exposé sur internet. Ce soir-là, quelqu'un d'autre regardait son salon avant lui.
Cette histoire, je l'ai racontée à une dizaine de personnes depuis. Neuf m'ont répondu la même chose : « Moi aussi j'ai une caméra comme ça, je ne savais pas qu'il fallait faire quelque chose. » Le problème n'est pas technique. Le problème, c'est qu'on nous vend des objets qui se connectent au réseau comme on nous vendait des grille-pain — en nous laissant croire que rien ne se passe après.
Points clés à retenir
- Un objet connecté mal configuré est presque toujours piratable en quelques minutes, sans compétence particulière.
- Le mot de passe d'usine et le firmware non mis à jour sont les deux causes n°1 des intrusions domestiques.
- Isoler ses objets sur un réseau Wi-Fi séparé est la mesure la plus rentable que vous puissiez prendre.
- Désactiver UPnP et l'exposition directe des ports évite la majorité des scans automatiques.
- Acheter un appareil certifié ETSI EN 303 645 vous épargne 80 % du travail de sécurisation.
- Aucun objet connecté n'est « sécurisé une fois pour toutes » : la maintenance fait partie de l'usage.
Sécuriser ses objets connectés : pourquoi le risque n'est pas là où on l'imagine
Quand on pense « piratage d'objet connecté », on imagine un hacker qui cible personnellement votre thermostat. Dans les faits, presque personne ne vous vise vous. Les attaquants scannent internet en masse, à la recherche de ports ouverts connus. Une adresse IP domestique qui répond à une requête sur le port 554 (le flux vidéo RTSP d'une caméra) est repérée en quelques secondes, mise dans une liste, et revendue ou exploitée automatiquement.
C'est ce qui est arrivé à mon frère. Personne n'a décidé de le pirater. Sa caméra s'est signalée toute seule.
Comment fonctionne un objet connecté, en une minute
Un objet connecté, c'est trois briques : un capteur ou un actionneur (camera, prise, sonde), un module réseau (Wi-Fi, Zigbee, Bluetooth), et un petit logiciel embarqué — le firmware. Ce firmware contient souvent un mini serveur web, parfois un service cloud, et un compte administrateur avec les identifiants définis en usine.
Trois sorties possibles pour un attaquant :
- Se connecter directement à l'interface locale avec admin/admin (encore trop fréquent).
- Exploiter une faille connue et corrigée dans un firmware plus récent — mais que vous n'avez pas installé.
- Passer par le cloud du fabricant, si votre compte utilise un mot de passe faible ou déjà compromis ailleurs.
Le Wi-Fi maison est le vrai point faible
Personne ne le dit assez : la plupart des objets connectés ne sont pas piratés « depuis internet » mais depuis votre propre réseau. Une fois qu'un appareil douteux (une enceinte bas de gamme, une ampoule achetée sur une place de marché) est compromis, il devient un point d'entrée vers vos ordinateurs, votre NAS, vos téléphones.
Un objet connecté compromis n'est pas un problème isolé. C'est un voisin de palier.
Par où commencer concrètement (l'ordre compte)
La méthode que j'applique maintenant chez moi, après avoir tout repris à zéro il y a quelques mois :
1. Isolez les objets sur un réseau séparé
C'est la mesure qui rapporte le plus, pour un coût quasi nul. La plupart des box récentes proposent un réseau Wi-Fi invité. Mettez-y tous vos objets connectés — caméras, prises, ampoules, robot aspirateur. Ce réseau ne doit pas pouvoir discuter avec vos ordinateurs. Sur les routeurs plus sérieux, on parle de VLAN dédié, mais le réseau invité suffit déjà à couper 90 % des mouvements latéraux.
J'ai fait le test chez moi : avant, mon imprimante voyait mon NAS en une requête. Après passage sur le réseau invité, elle ne voit plus rien. Personne ne s'en plaint.
2. Changez le mot de passe d'usine, sans exception
Si vous ne retenez qu'une seule chose de cet article : un objet qui garde son mot de passe d'usine est un objet public. Changez-le le jour de l'installation, pas « plus tard ». Utilisez un gestionnaire de mots de passe, générez 16 caractères, ne réutilisez jamais un mot de passe déjà utilisé sur un site.
3. Mettez à jour les firmwares
Le point douloureux. Certains fabricants font bien les choses (mise à jour automatique dans l'application), d'autres ont abandonné le suivi au bout de deux ans. Ma règle : si un appareil n'a pas reçu de mise à jour depuis plus de trois ans et qu'il communique avec l'extérieur, il sort de la maison. Peu importe son prix d'achat.
4. Désactivez UPnP sur votre box
UPnP permet à un appareil d'ouvrir tout seul un port sur internet, sans vous demander. C'est pratique pour les consoles de jeu, catastrophique pour la sécurité. La plupart des caméras IP l'utilisent pour se rendre joignables depuis l'extérieur. Désactivez-le dans l'interface de votre box : l'option est généralement dans les paramètres avancés, rubrique « NAT » ou « pare-feu ».
5. Vérifiez qu'aucun port n'est exposé
Un outil en ligne de scan de ports suffit pour vérifier si votre adresse IP expose quelque chose. Vous ne devriez voir aucun port ouvert vers l'extérieur, sauf si vous savez précisément pourquoi. Si un port 554, 80, 8080 ou 23 apparaît, il y a un problème.
Choisir un objet connecté : le critère que personne ne regarde
Il existe une norme européenne, ETSI EN 303 645, qui impose un socle minimal : pas de mot de passe universel, procédure de signalement des vulnérabilités, mise à jour garantie plusieurs années. Les fabricants qui s'y conforment le mentionnent dans la fiche produit. Ceux qui n'en parlent pas… n'en parlent pas.
| Critère | Objet « premier prix » | Objet certifié EN 303 645 |
|---|---|---|
| Mot de passe par défaut | admin / admin ou 123456 | Unique, imposé au premier démarrage |
| Mises à jour firmware | Aucune après 18 mois | Engagement écrit, souvent 5 ans |
| Stockage cloud | Chiffrement non documenté | Chiffrement annoncé, clés séparées |
| Communication locale | Souvent bloquée (cloud obligatoire) | API locale ou protocole ouvert |
| Contact sécurité | Service client générique | Canal dédié pour signaler une faille |
Mon avis, et je le défends : payer 20 € de plus pour un objet certifié est le meilleur investissement sécurité de votre maison. Vous n'aurez rien à configurer, rien à surveiller pendant des années. L'argent économisé sur un appareil bon marché se transforme en heures perdues plus tard.
L'IoT médical : le cas où ça devient sérieux
Je sors volontairement du domicile, parce que c'est un angle dont on parle trop peu. Un pacemaker connecté, un lecteur de glycémie, un tensiomètre qui envoie ses mesures à une plateforme : ces appareils suivent souvent les mêmes règles que les objets grand public, avec des conséquences sans commune mesure.
Ce que je vois en pratique chez les personnes équipées :
- Le mot de passe du compte patient est souvent le même que celui de la boîte mail.
- La mise à jour se fait via une application mobile parfois abandonnée par son éditeur.
- Le partage des données avec le médecin passe par des liens non protégés.
Si vous dépendez d'un dispositif médical connecté, la bonne question n'est pas « est-ce que je peux le sécuriser moi-même » mais « qui, chez le fabricant ou le soignant, est responsable de sa mise à jour ». Posez la question. Si personne ne sait répondre, c'est déjà un signal.
Ce qui ne suffit pas (et qu'on lit partout)
Beaucoup de conseils circulent et donnent un faux sentiment de sécurité.
Changer son mot de passe Wi-Fi ne protège pas les objets exposés sur internet. Un antivirus sur ordinateur n'a aucun effet sur une caméra IP. Éteindre un objet quand on ne l'utilise pas aide, mais ne remplace pas une configuration propre — et soyons honnêtes, personne n'éteint sa box chaque soir.
La vraie difficulté, celle que j'ai mis des mois à accepter : la sécurité d'un objet connecté n'est jamais terminée. Un nouveau firmware sort, une nouvelle faille apparaît, un compte est compromis ailleurs. La bonne posture n'est pas « j'ai tout sécurisé », c'est « je sais où regarder quand quelque chose cloche ».
Que faire si vous pensez qu'un objet a été piraté
Trois signes qui ne trompent pas : l'appareil chauffe ou bipe sans raison, vous recevez des notifications d'accès que vous n'avez pas déclenchés, ou la LED d'activité clignote alors que personne n'utilise l'objet.
La réaction : débranchez, changez le mot de passe du compte fabricant, réinitialisez l'appareil aux paramètres d'usine, mettez à jour le firmware, puis reconnectez-le uniquement sur votre réseau invité. Si l'appareil est ancien et que le fabricant ne publie plus rien, remplacez-le. Ce n'est pas du zèle, c'est de l'hygiène réseau.
Il reste une question que je n'arrive pas à trancher, même après tout ce temps : combien d'objets connectés faudra-t-il encore vendre avant que la sécurité ne devienne un argument marketing comme un autre — au même titre que la durée de garantie ou la consommation électrique ? Tant que ce ne sera pas le cas, la vigilance reposera sur vous. Sur moi. Sur mon frère, qui a fini par mettre un bout de scotch noir sur l'objectif de sa caméra.
