Une enceinte connectée posée sur une étagère, une boutique de prises qui pilotent les volets, et une box internet qui n'a jamais vu la moindre mise à jour depuis son installation. C'est le décor de la plupart des foyers que je visite. Et honnêtement, le problème n'est presque jamais l'objet lui-même.
Quand je dis « le problème n'est pas l'objet », je pèse mes mots. Un objet connecté sort d'usine avec de bonnes intentions, des composants corrects et un firmware qui fonctionne. Il se fait pirater pour trois raisons : on ne change pas les réglages par défaut, on ne cloisonne pas le réseau, et on oublie que l'objet est un ordinateur déguisé. Alors voici comment sécuriser vos objets connectés contre le piratage, concrètement, sans jargon inutile.
Points clés à retenir
- Un objet connecté non mis à jour est une porte ouverte : le firmware est la première cible.
- Séparer le Wi-Fi des objets du Wi-Fi des ordinateurs réduit le risque de rebond d'un appareil à l'autre.
- Le mot de passe par défaut se change le jour de l'installation, pas « plus tard ».
- Le détail qu'on néglige tous : le routeur. S'il est compromis, rien d'autre ne compte.
- Un réseau invité n'est pas la même chose qu'un réseau dédié aux objets. La nuance compte.
Pourquoi vos objets connectés sont une cible si facile
Il y a un malentendu à démonter tout de suite. Un pirate ne s'intéresse pas vraiment à l'ampoule de votre salon. Ce qu'il veut, c'est un point d'entrée. Une fois qu'il tient un appareil branché en permanence, connecté au réseau et rarement surveillé, il a un pied dans la maison numérique.
L'objet connecté est pratique parce qu'il ne se plaint jamais. Il tourne 24 heures sur 24, il redémarre quand on coupe le courant, et personne ne regarde ses logs. Pour quelqu'un qui cherche une puissance de calcul discrète, c'est idéal.
Comment fonctionne un objet connecté
Un objet connecté, c'est un petit ordinateur avec un processeur, une mémoire, un système d'exploitation minimaliste et une puce réseau. Il dialogue avec un cloud, souvent celui du fabricant, par lequel transitent vos commandes et vos données. Cette architecture a deux conséquences : l'objet dépend du cloud du fabricant, et c'est cette liaison qui expose la moindre faiblesse.
Quand le fabricant abandonne le produit, le cloud peut disparaître, mais l'objet reste branché. Vous avez alors un appareil qui parle à un serveur laissé à l'abandon. Ce scénario, je l'ai vu sur des caméras achetées il y a quelques années et dont l'application mobile n'existe plus.
Les failles qui reviennent toujours
- Un mot de passe d'usine identique sur tous les exemplaires d'un même modèle.
- Des mises à jour jamais proposées, ou proposées mais ignorées.
- Un service exposé vers l'extérieur sans raison (une caméra qui diffuse en direct, par exemple).
- Un objet acheté d'occasion, déjà relié au compte de quelqu'un d'autre.
- Un réseau Wi-Fi unique pour tout le foyer, sans cloisonnement.
Les premiers gestes qui changent tout
On me demande souvent par où commencer. Ma réponse tient en une phrase : par ce qui se fait en dix minutes et qui bloque quatre-vingts pour cent des attaques opportunistes.
Changez les mots de passe par défaut, tout de suite
Le compte administrateur d'un objet connecté est rarement protégé. Le mot de passe d'usine est parfois imprimé sur une étiquette visible, ou réutilisé sur toute une série. Sur une prise connectée que j'avais installée dans mon bureau, le mot de passe par défaut était littéralement « admin ». Trois minutes pour en changer un. J'ai mis deux mois.
La bonne pratique : un mot de passe long et unique par appareil, stocké dans un gestionnaire de mots de passe, jamais le même que celui de votre boîte mail. Si l'objet accepte l'authentification à deux facteurs, activez-la. C'est rare, mais quand ça existe, c'est un vrai rempart.
Activez les mises à jour automatiques, ou vérifiez-les vous-même
Une faille corrigée reste une faille tant qu'elle n'est pas appliquée. La plupart des objets connectés proposent un réglage de mise à jour automatique. Activez-le. Sur les appareils plus anciens qui ne le proposent pas, prenez l'habitude de vérifier une fois par trimestre. J'ai ajouté un rappel dans mon agenda pour mes cinq appareils les plus sensibles. C'est fastidieux, mais c'est cinq minutes tous les trois mois.
Attention au piège : un objet qui n'a reçu aucune mise à jour depuis plus de deux ans est probablement en fin de vie côté support. Il ne faut pas forcément le jeter, mais il ne doit plus rien faire de sensible.
Cloisonner le réseau, le geste qu'on oublie
Le routeur est la pièce maîtresse de tout ça. S'il tombe, tout tombe. Et c'est précisément ce que cherchent les attaques sérieuses : elles ne ciblent pas directement la caméra, elles passent par un appareil mal protégé pour atteindre le routeur, puis l'ordinateur où se trouve vos documents.
Réseau invité ou réseau dédié ?
Beaucoup d'articles conseillent de mettre les objets connectés sur le réseau invité. L'intention est bonne, la méthode est bancale : sur une box classique, certains objets ont besoin de voir d'autres appareils du foyer (affichages, passerelles domotiques) et le réseau invité bloque justement cette communication.
Quand votre routeur le permet, créez plutôt un SSID dédié aux objets, avec son propre mot de passe, et gardez le réseau principal pour les ordinateurs et les téléphones. Ainsi, si un objet est compromis, il ne peut pas rebondir vers vos données.
WPA3 et paramètres Wi-Fi
Vérifiez le chiffrement de votre réseau Wi-Fi. Le WPA2 reste acceptable, le WPA3 est préférable s'il est disponible. Évitez le vieux WPA et surtout le réseau ouvert, qui expose tout ce qui circule. Coupez aussi le WPS, ce bouton de connexion rapide qui facilite la vie des voisins et des attaquants curieux.
Évaluer la sécurité avant l'achat, pas après
Avouons-le : acheter un objet connecté, c'est souvent un clic impulsif. On regarde le prix, la note, une ou deux photos. La sécurité n'entre pas dans l'équation. Sauf qu'un objet acheté sans garantie de suivi devient un poids trois ans plus tard.
Les critères à vérifier
- Le fabricant publie-t-il des correctifs de sécurité régulièrement ? Un coup d'œil à son site suffit souvent.
- Le produit respecte-t-il une norme de cybersécurité reconnue ? La norme ETSI EN 303 645 est la référence pour les objets grand public, et le Cyber Resilience Act européen impose progressivement ces exigences aux fabricants.
- Existe-t-il une politique de fin de support écrite ? Si le fabricant ne s'engage sur rien, considérez que l'objet sera orphelin.
- Le produit est-il vendu neuf, avec un compte vierge ? Un objet d'occasion peut conserver les accès de son ancien propriétaire.
Ce dernier point mérite qu'on s'y arrête. J'ai récupéré une caméra d'occasion, et l'application me proposait de rejoindre un compte existant. Le vendeur n'avait pas fait la réinitialisation complète. Sur ce type d'appareil, un simple reset de dix secondes aurait suffi. S'il ne l'a pas fait, vous vous retrouvez avec un objet que quelqu'un d'autre peut surveiller.
Comparatif : quelle méthode pour quel niveau de risque
| Méthode | Effort | Protège contre |
|---|---|---|
| Mots de passe uniques | Faible | Accès direct opportuniste |
| Mises à jour automatiques | Faible | Failles déjà corrigées par le fabricant |
| SSID dédié aux objets | Moyen | Rebond vers vos ordinateurs |
| WPA3 + WPS désactivé | Faible | Interception du trafic Wi-Fi |
| Routeur tenu à jour | Moyen | Prise de contrôle de tout le foyer |
Le routeur, la pièce que tout le monde néglige
Voilà le point qui me frustre le plus quand j'accompagne quelqu'un. On sécurise les objets, on change les mots de passe, on cloisonne le réseau. Et le routeur, lui, tourne depuis quatre ans avec le firmware d'origine et le mot de passe d'administration « admin / admin ».
Si un attaquant prend le routeur, tout ce qui précède ne sert à rien. Il voit passer le trafic, il peut rediriger les requêtes, il peut créer des règles qu'aucun objet ne détectera. La bonne pratique : changez le mot de passe d'administration, désactivez l'accès à l'interface depuis l'extérieur du réseau, et vérifiez les mises à jour du fabricant. Certains modèles proposent la mise à jour automatique. Activez-la.
Un détail que j'ai appris à mes dépens : après avoir modifié les paramètres de ma box, j'avais laissé l'interface accessible depuis internet. Un scanner automatique l'a repérée en quelques jours. Rien de grave dans mon cas, mais ça m'a servi de leçon.
Que disent l'ANSSI et la CNIL ?
L'ANSSI recommande de considérer chaque objet comme un appareil à part entière, avec ses propres mises à jour et son propre compte. La CNIL, de son côté, rappelle que les objets connectés collectent souvent des données personnelles (voix, images, habitudes) et que le fabricant doit garantir leur protection. Concrètement : lisez la politique de confidentialité avant d'acheter, et coupez les micros et caméras quand vous n'en avez pas besoin.
Et pour l'IoT médical ?
Le cas de l'IoT médical est à part. Un tensiomètre ou un glucomètre connecté transmet des données de santé, catégorie particulièrement sensible. La règle est simple : privilégiez les appareils fournis ou recommandés par un professionnel de santé, changez systématiquement le mot de passe par défaut, et ne les connectez jamais au même réseau que des objets grand public. Ce sont des dispositifs qui doivent rester isolés.
Ce qu'il faut retenir quand on rentre chez soi
La sécurité des objets connectés n'est pas un projet qu'on termine. C'est une série de petites habitudes prises au bon moment. Changez les mots de passe le jour de l'installation. Activez les mises à jour automatiques. Créez un réseau séparé pour les objets. Vérifiez votre routeur une fois par an.
Aucune de ces actions ne prend plus de dix minutes. Prises dans l'ordre, elles éliminent la quasi-totalité des attaques qui visent les foyers. Le reste, ce sont des menaces ciblées que la plupart d'entre nous ne verront jamais.
Une dernière chose. La prochaine fois que vous achetez un objet connecté, posez-vous une seule question avant de cliquer : ce fabricant s'engage-t-il à me fournir des mises à jour dans trois ans ? Si la réponse est floue, cherchez un autre modèle. C'est le seul critère qui décidera si votre objet est encore sécurisé le jour où vous l'aurez oublié.
