Une prise connectée à 12 euros. C'est par elle que tout est entré. Un client m'appelle un mardi matin, paniqué : son NAS affiche des fichiers chiffrés, une demande de rançon s'affiche sur son écran, et il ne comprend pas. Le pare-feu de sa box était actif. Les mots de passe de ses PC étaient corrects. Sauf que trois semaines plus tôt, il avait branché une prise connectée achetée en promo pour piloter une lampe du salon. Mot de passe par défaut. Firmware jamais mis à jour. Une prise ouverte sur l'extérieur. Voilà comment on sécurise — ou pas — un logement entier.
Ce genre d'histoire, je l'ai vue passer plusieurs fois. Pas parce que les objets connectés sont diaboliques, mais parce qu'on les traite comme des gadgets alors que ce sont des ordinateurs. Des ordinateurs avec un micro, parfois une caméra, toujours une connexion réseau, et très rarement un service de sécurité derrière. Sécuriser ses objets connectés, ce n'est pas de la paranoïa. C'est de l'hygiène de base, au même titre que verrouiller sa porte d'entrée.
Points clés à retenir
- Les mots de passe par défaut restent la première porte d'entrée des attaques sur les objets connectés.
- Un réseau Wi-Fi invité dédié aux objets limite drastiquement la casse en cas de compromission.
- La mise à jour automatique du firmware est le geste le plus rentable que vous puissiez activer.
- Chaque fonction que vous n'utilisez pas (micro, caméra, accès distant) est une surface d'attaque en plus : désactivez-la.
- Avant d'acheter, vérifiez la durée de support annoncée par le fabricant. Un objet non suivi devient une passoire en deux ans.
- En cas d'incident : débranchez, réinitialisez, changez les identifiants, et signalez sur cybermalveillance.gouv.fr.
Pourquoi sécuriser ses objets connectés n'est plus optionnel
Un objet connecté, dans les faits, c'est un petit serveur avec des capteurs. Il parle Wi-Fi, Bluetooth, parfois Zigbee ou 5G. Il envoie des données vers un cloud, reçoit des commandes, exécute un firmware. Et comme tout ordinateur, il peut être détourné.
Le problème, c'est la disproportion entre le nombre d'appareils et le nombre de personnes capables de les configurer correctement. La plupart des foyers que je croise ont entre 15 et 40 appareils connectés : ampoules, prises, thermostats, caméras, enceintes, montres, téléviseurs, aspirateurs. Sur ces 40, combien ont un mot de passe changé ? Souvent deux ou trois. Le reste tourne avec les identifiants d'usine, identiques sur des millions d'exemplaires.
Objet connecté : définition rapide pour savoir de quoi on parle
Un objet connecté, c'est un appareil du quotidien doté d'une capacité de communication réseau lui permettant d'envoyer ou de recevoir des données, souvent via une application ou un cloud. Cette définition englobe aussi bien votre montre de sport que la caméra de surveillance de votre entrée. Le point commun : ils sont joignables depuis Internet, donc joignables par quelqu'un d'autre que vous.
Et là, on touche au vrai sujet. Un objet connecté n'est pas dangereux parce qu'il collecte des données. Il est dangereux parce qu'il devient, pour un attaquant, un point d'appui discret à l'intérieur de votre réseau. Une fois dedans, il peut scanner, remonter, pivoter vers vos autres machines. La prise connectée n'est jamais la cible finale. Elle est le marchepied.
« Le maillon faible n'est presque jamais le PC bien tenu. C'est l'objet qu'on a oublié qu'on avait branché. »
Les cinq erreurs qui ouvrent la porte (et comment les fermer)
Ce que je vois chez presque tout le monde, dans cet ordre de gravité :
- Garder le mot de passe par défaut ou un mot de passe identique partout. C'est la cause numéro un.
- Ne jamais installer les mises à jour du firmware, parce que rien ne le rappelle.
- Laisser l'UPnP activé sur la box, ce qui ouvre automatiquement des ports vers l'extérieur.
- Autoriser l'accès distant à un objet sans raison réelle.
- Tout mettre sur le même réseau Wi-Fi que les ordinateurs et le NAS. Sans cloisonnement.
Franchement, je comprends pourquoi on tombe dedans. Personne n'a envie de passer une soirée à configurer une ampoule. Mais chacune de ces erreurs se corrige en quelques minutes, et la dernière change tout.
Mots de passe et firmware : les deux gestes qui font 80 % du travail
La première fois que je me suis intéressé au sujet, j'ai fait l'inventaire des appareils de la maison. Résultat : quatorze. Sur quatorze, onze avaient le mot de passe d'usine. J'étais persuadé d'avoir tout changé. Je n'avais rien changé.
Donc : changez le mot de passe de chaque objet pour un mot de passe unique, long, généré par un gestionnaire. Pas de réutilisation. Ensuite, activez la mise à jour automatique partout où l'option existe. Sur un objet qui ne propose pas de mise à jour automatique, mettez un rappel tous les trois mois. C'est ingrat, mais c'est efficace.
UPnP et accès distant : deux interrupteurs à couper
L'UPnP (Universal Plug and Play) sert à simplifier la vie : il laisse les appareils ouvrir eux-mêmes les ports nécessaires sur votre box. Pratique. Et risqué, parce que n'importe quel logiciel mal configuré peut aussi en profiter. Beaucoup de box permettent de le désactiver dans l'interface d'administration. Faites-le, puis ouvrez manuellement les rares ports dont vous avez besoin.
Quant à l'accès distant, la question à se poser est simple : avez-vous vraiment besoin de piloter votre thermostat depuis l'autre bout du monde ? Si la réponse est non, coupez-le. Une caméra ou un NAS exposés directement sur Internet se retrouve scanné en quelques heures.
Isoler ses objets connectés : le geste que 90 % des gens ignorent
Voici l'astuce qui distingue une maison « à peu près sécurisée » d'une maison correctement cloisonnée. Vous créez un réseau Wi-Fi séparé pour tous vos objets connectés. Un SSID invité, un VLAN, ou un réseau dédié selon ce que votre box ou routeur permet. Les objets vivent dessus. Vos ordinateurs, votre NAS et vos téléphones restent sur le réseau principal.
Conséquence concrète : si une caméra se fait compromettre, l'attaquant se retrouve dans un réseau où il n'y a rien d'autre à attaquer. Pas d'accès à vos documents, pas d'accès à votre NAS. C'est pour cette raison que mon client — celui dont je parlais plus haut — aurait pu dormir tranquille. Sa prise était exposée, mais elle était sur le réseau des PC.
Sur la box que j'utilise, la mise en place a pris vingt minutes. Sur une box d'opérateur basique, ce n'est pas toujours possible. Dans ce cas, un routeur dédié aux objets, ou un point d'accès séparé, fait le travail pour une somme raisonnable.
Comment fonctionne un objet connecté, pour comprendre où se situe le risque
La chaîne est toujours la même : l'objet capte une information, l'envoie via le réseau vers un serveur du fabricant, le serveur traite, renvoie une commande, l'objet agit. Chaque maillon est une surface. Le mot de passe protège l'accès à l'objet. Le chiffrement protège la communication. Les mises à jour corrigent les failles du firmware. Le cloisonnement limite les dégâts si tout le reste a échoué.
Ce fameux « tout le reste » est rarement parfait. Le cloisonnement, lui, pardonne presque tout.
Comment choisir des objets connectés plus sûrs à l'achat
Avant l'achat, trois questions suffisent à écarter la majorité des produits à problème. Le fabricant annonce-t-il une durée de support ? Les mises à jour sont-elles automatiques ? Existe-t-il un chiffrement des communications, ou au moins l'assurance qu'elles ne se font pas en clair ?
Vous trouverez parfois la mention EN 303 645 sur la boîte ou la fiche produit. Ce standard européen impose des exigences minimales de sécurité (pas de mot de passe universel, mises à jour, protection des données personnelles). Il arrive aussi que la mention soit absente alors que le produit est correct. Ce n'est pas un label universel. Mais quand il est là, c'est un bon signal.
Le tableau suivant résume ce que je regarde en pratique, du plus important au moins critique.
| Critère | Ce qu'il faut vérifier | Pourquoi ça compte |
|---|---|---|
| Mots de passe uniques | Pas de mot de passe universel identique sur tous les exemplaires | Bloque les attaques de masse type botnet |
| Mises à jour | Automatiques, et durée de support annoncée | Un firmware figé devient vulnérable en quelques mois |
| Chiffrement | Communications chiffrées entre l'objet et le cloud | Empêche l'interception des données sur le réseau |
| Conformité | Mention EN 303 645, ou préparation au Cyber Resilience Act | Indique un minimum de sérieux côté fabricant |
| Fonctions inutiles | Micro, caméra, accès distant désactivables | Réduit la surface d'attaque au strict nécessaire |
Un objet moins cher sans support devient un objet cher à remplacer. C'est aussi simple que ça.
Que faire en cas d'incident sur un objet connecté
Un comportement anormal — clignotements inattendus, trafic réseau bizarre, lenteurs soudaines — mérite votre attention. La réaction doit être immédiate et dans cet ordre : débrancher l'appareil du réseau, le réinitialiser aux paramètres d'usine, changer son mot de passe et celui du réseau Wi-Fi auquel il était connecté, puis vérifier les autres appareils de la maison.
Ensuite, signalez l'incident sur cybermalveillance.gouv.fr, la plateforme publique conçue pour accompagner les particuliers et les professionnels. Vous y trouverez des diagnostics, des conseils et une procédure adaptée à votre situation. Vérifiez également que l'objet était bien isolé : c'est à ce moment-là que vous mesurez l'intérêt du cloisonnement, dans le bon ou le mauvais sens.
Si des données personnelles ont pu fuiter, la CNIL a publié des recommandations sur les objets connectés qui vous aident à identifier ce qui doit être sécurisé en priorité. Et si l'objet portait des données de santé, la vigilance doit être encore plus haute.
Les objets connectés : avantages et inconvénients côté sécurité
Côté avantages : pilotage à distance, automatisation, confort, économies d'énergie réelles sur le chauffage et l'éclairage, suivi d'activité physique ou de santé pour certains appareils. Ces bénéfices ne disparaissent pas parce qu'on sécurise : ils deviennent simplement moins exposés.
Côté inconvénients : collecte constante de données, dépendance à un cloud tiers qui peut fermer, surveillance légale ou commerciale des usages, et une surface d'attaque qui s'élargit à chaque nouvel appareil. Le vrai arbitrage n'est pas « connecté ou pas », mais « connecté, isolé, et à jour — ou rien de tout ça ».
La règle simple que j'applique désormais
Chaque nouvel objet qui entre chez moi passe par la même checklist : mot de passe unique posé immédiatement, mise à jour automatique activée, branchement sur le réseau dédié aux objets, micro et caméra désactivés s'ils ne servent pas. Puis j'ajoute l'appareil à une liste, avec la date d'achat et la date de fin de support annoncée. Quand la fin de support approche, je remplace ou je débranche.
Cette liste, c'est ce qui m'a le plus servi. Elle m'a fait réaliser que deux capteurs que j'utilisais encore n'avaient pas été mis à jour depuis plus d'un an. Je les ai retirés le soir même. Pas parce qu'un problème était survenu, mais parce qu'il allait survenir.
La sécurité des objets connectés n'est pas un chantier qu'on termine. C'est un entretien régulier, comme changer les piles d'un détecteur de fumée. Sauf qu'ici, la pile, c'est le firmware. Et si vous oubliez de la changer, personne ne vous préviendra. Quelqu'un, en revanche, s'en apercevra à votre place.
