Sécuriser ses objets connectés contre les piratages : le guide essentiel

Une caméra intérieure à 25 €. Branchée, connectée au Wi-Fi de la maison, jamais reconfigurée depuis le déballage. Le mot de passe ? « admin / admin », comme sur l'étiquette collée sous le boîtier. Un proche m'a demandé de jeter un œil à son réseau après avoir reçu une notification bizarre. J'ai scanné sa box. En quarante secondes, j'ai trouvé la caméra qui diffusait sur un port grand ouvert, accessible depuis n'importe quel navigateur du monde. Elle filmouait son salon depuis huit mois.

Voilà le vrai visage du piratage des objets connectés. Pas de grand hacker en capuche. Juste un appareil qui répond sagement à qui frappe à sa porte, parce que personne ne lui a jamais dit de la fermer. Sécuriser ses objets connectés contre les piratages, ce n'est pas une affaire d'expert en cybersécurité. C'est de l'hygiène. Et dans 9 cas sur 10, trois réglages suffisent à transformer une passoire en forteresse.

Pourquoi vos objets connectés sont une cible facile

Un ordinateur moderne se défend tout seul. Il a un pare-feu, un antivirus, un système qui se met à jour sans qu'on lui demande. Un objet connecté, non. Il est conçu pour être vendu vite et pas cher, avec une puce minuscule, souvent pas de mécanisme de mise à jour automatique, et une interface web bâclée.

J'ai démonté un jour une prise connectée achetée en grande surface. À l'intérieur : une puce générique, un firmware daté, et aucune fonction de mise à jour à distance. L'application du fabricant n'avait pas été touchée depuis deux ans. L'objet était déjà un fossile à la sortie de sa boîte.

Aucune mise à jour ne veut pas dire aucune faille

Une faille de sécurité, ça ne se voit pas. Elle dort. Puis un jour, quelqu'un la trouve et la publie. À partir de là, tous les appareils du même modèle sont exposés en même temps. Le problème ? Le fabricant ne corrigera peut-être jamais. Et vous n'en saurez rien.

Le parc d'objets connectés d'un foyer moyen a explosé : caméras, enceintes, ampoules, robots aspirateurs, montres, télévisions. Chacun est une petite porte. Multiplication des portes, multiplication des serrures oubliées.

Les trois erreurs que je vois partout

• Le mot de passe par défaut jamais changé. « admin », « 123456 », « password » : ces identifiants traînent dans des listes publiques que n'importe qui peut télécharger.
• Le UPnP laissé activé. Cette fonction pratique qui « ouvre automatiquement les ports » est un cadeau pour un attaquant.
• Un objet branché puis oublié pendant des années, sans que son propriétaire sache seulement qu'il communique avec un serveur quelque part.

Ces trois points à eux seuls expliquent l'essentiel des piratages domestiques. Pas de génie malveillant. De la négligence ordinaire.

Comment sécuriser ses objets connectés en pratique

Parlons concret, parce que les grandes déclarations sur la « vigilance » ne servent à rien devant une box. Voici la procédure que j'applique, dans l'ordre. Comptez une heure la première fois. Dix minutes pour chaque objet ajouté ensuite.

Étape 1 : reprendre la main sur le réseau

Connectez-vous à l'interface de votre box (l'adresse est en général imprimée dessus). Cherchez deux réglages :

1. Désactivez le UPnP. Vous devrez peut-être ouvrir un port manuellement pour un usage précis, mais au moins vous saurez lequel. À mon sens, c'est le réglage le plus rentable de la liste — et je défendrai ça bec et ongles.
2. Coupez le Wi-Fi invité des objets sensibles. Non, attendez, l'inverse : déplacez vos objets sur un réseau séparé. Un SSID invité dédié aux objets, avec un mot de passe différent de votre réseau principal.

Pourquoi séparer ? Si un robot aspirateur se fait pirater, il n'a plus accès à votre ordinateur qui contient vos documents. Il est coincé sur son petit réseau à lui. C'est la fameuse « segmentation », version grand public.

Étape 2 : un mot de passe unique par objet

Répéter le même mot de passe partout annule la protection. Un gestionnaire de mots de passe règle le problème : il génère et retient des identifiants longs et différents. J'ai mis six mois à convaincre un ami de s'y mettre. Aujourd'hui il ne reviendrait pas en arrière.

Sur les objets qui le permettent, activez aussi la double authentification. Rare, mais quand c'est là, prenez-la.

Étape 3 : configurer le strict nécessaire

La plupart des objets proposent des fonctions dont vous n'avez pas besoin. Micro d'une enceinte, accès cloud, partage à distance. Chaque option activée est une porte de plus. Fermez ce qui ne sert pas.

Et vérifiez le firmware. Un objet qui ne propose aucune mise à jour depuis deux ans doit être surveillé de près.

Que risque-t-on vraiment quand un objet se fait pirater ?

On imagine souvent l'espionnage. C'est plus large, et souvent plus banal.

• L'objet enrôlé dans un réseau de machines zombies. Votre caméra participe, sans que vous le sachiez, à des attaques contre d'autres sites.
• La fuite de données. Une caméra, c'est de l'image et du son de votre intérieur. Imaginez la scène filmée, la voix captée, la conversation de famille.
• L'usurpation de votre réseau : un attaquant profite de votre connexion pour agir depuis chez vous.
• Plus grave, dans des cas spécifiques : un objet médical connecté mal protégé peut influencer un appareil critique. Le sujet est sérieux et pris au sérieux par les autorités.

Le point commun : la victime ne s'en rend compte que très tard. Parfois jamais.

Le cas particulier des objets médicaux connectés

Un tensiomètre, un lecteur de glycémie, un pacemaker connecté : ces appareils touchent directement au corps. La sécurité y est plus critique, et les fabricants sérieux prennent des précautions bien plus lourdes que pour une ampoule connectée. Si vous dépendez d'un tel appareil, la question du fabriquant et de son suivi n'est pas un détail. Posez la question à votre médecin ou au fabricant avant d'accepter un modèle récent.

Comment choisir un objet connecté moins risqué dès l'achat

La meilleure sécurité se décide avant l'achat, pas après. Un objet bien conçu se défend tout seul.

Les critères qui comptent

• La durée de support annoncée. Combien d'années de mises à jour le fabricant promet-il ? En dessous de deux ans, méfiance.
• Un mécanisme de mise à jour automatique. Si vous devez aller chercher le firmware vous-même sur un site, c'est mauvais signe.
• Des identifiants uniques imposés à la configuration : pas de mot de passe par défaut identique pour tous.
• La possibilité de fonctionner en local, sans obligatoirement passer par le cloud du fabricant.

En Europe, un règlement sur la cybersécurité des produits connectés encadre progressivement ces exigences. Les choses bougent, lentement, mais elles bougent. Le label ETSI EN 303 645 existe déjà et commence à apparaître sur des emballages. Cherchez-le.

Type d'objet	Risque principal	Priorité de protection
Caméra intérieure	Vidéo et audio de l'intérieur	Élevée
Objet médical connecté	Atteinte corporelle directe	Très élevée
Ampoule, prise connectée	Enrôlement dans un botnet	Moyenne
Enceinte connectée	Micro toujours actif	Moyenne
Robot aspirateur	Données de plan intérieur	Faible à moyenne

Cette hiérarchie n'est pas une vérité absolue. Elle m'aide à décider où mettre mon énergie quand le temps manque.

Les ressources officielles à connaître

Deux organismes publics valent d'être mis en favori.

Le site cybermalveillance.gouv.fr publie des fiches pratiques, lisibles, sans jargon, avec des bonnes pratiques adaptées au grand public. Il fait aussi tourner des campagnes de sensibilisation. C'est la porte d'entrée la plus simple.

La CNIL, de son côté, a produit un guide des bonnes pratiques sur les objets connectés, orienté vie privée et données personnelles. Utile quand vous voulez comprendre ce que l'objet collecte réellement sur vous.

Et puis l'ANSSI, l'agence nationale de cybersécurité, pour les recommandations plus techniques — utile si vous administrez un petit réseau professionnel ou une installation un peu dense.

Faut-il installer un antivirus dédié pour ses objets ?

Non, pas au sens classique. Il n'existe pas d'antivirus qu'on installe sur une ampoule. La bonne approche, c'est de protéger le réseau qui les héberge : une box à jour, des règles claires, un réseau séparé. Parfois, on peut surveiller le trafic via des outils un peu techniques, mais pour un usage domestique, la configuration propre suffit largement.

Ce qu'il faut faire quand un objet n'est plus patchable

Un jour vient où le fabricant a abandonné le modèle. Plus de mises à jour. L'objet allume toujours, il « marche », mais son logiciel tombe en décrépitude. Que faire ?

J'ai vécu ce cas avec un vieux thermostat. Il fonctionnait, mais la dernière mise à jour datait de trop longtemps. Deux options : l'isoler totalement sur un réseau sans accès à Internet, en le pilotant en local uniquement, ou le remplacer. J'ai fini par le remplacer. Sur un objet qui touche au chauffage et à la sécurité domestique, je ne voulais pas prendre le risque.

La règle simple : si l'objet ne reçoit plus de correctifs et qu'il reste connecté à Internet, considérez-le comme compromis par défaut. Débranchez-le, isolez-le, ou remplacez-le. Ne le laissez pas traîner « juste au cas où ».

Et si vous ne faites qu'une seule chose ?

Changez les mots de passe par défaut. C'est la mesure la plus simple, la plus rapide, et celle qui bloque le plus d'attaques. Une heure sur un après-midi pluvieux, et vous éliminez la majorité des scénarios où un objet se fait pirater sans résistance.

Le reste — segmentation, désactivation du UPnP, choix à l'achat — c'est du confort et de la profondeur. Mais le mot de passe, c'est la porte d'entrée. Et tant qu'elle reste avec l'étiquette « admin / admin » collée à côté, le reste ne sert à rien.

La vraie question n'est pas de savoir si votre objet est piratable. Il l'est. La question, c'est : combien de temps faudrait-il à quelqu'un pour y arriver ? Faites en sorte que la réponse soit « trop longtemps pour que ça vaille le coup ».