Sécuriser ses objets connectés à la maison : ce que j'aurais aimé savoir plus tôt
La première fois qu'une caméra IP a parlé chez moi, c'était à 3 h du matin. Pas un bug. Pas une mise à jour capricieuse. Une voix d'homme, sortie du petit haut-parleur que j'avais vissé au-dessus de la porte d'entrée six mois plus tôt, qui demandait si quelqu'un était là. J'ai mis quinze secondes à comprendre que le « quelqu'un », c'était moi, et que le type au bout du fil voyait exactement ce que je voyais.
J'écris sur la domotique depuis assez longtemps pour savoir que ce genre d'histoire fait sourire ceux qui n'ont « rien à cacher ». Sauf que le problème n'est jamais ce qu'on a à cacher. Le problème, c'est ce que l'objet connecté, lui, expose sans qu'on le lui ait demandé : le planning de présence d'une maison vide, la marque du digicode, la voix d'un gamin qui joue dans le salon, le rythme cardiaque d'une personne âgée seule chez elle.
Et là, franchement, « rien à cacher » ne tient plus très longtemps.
Points clés à retenir
- Changer le mot de passe par défaut ne suffit pas : il faut aussi couper les fonctions que vous n'utilisez pas (UPnP, accès cloud, micro permanent).
- Un réseau Wi-Fi invité dédié à l'IoT isole vos objets du reste de la maison. C'est la mesure qui a le plus d'effet pour le moins d'effort.
- La mise à jour du firmware est votre seule défense contre les failles connues. Un objet qui ne reçoit plus de correctifs est un objet à débrancher.
- Le RGPD vous protège : vous pouvez demander au fabricant quelles données il collecte, et exiger leur suppression.
- En cas de piratage avéré, la marche à suivre est : couper l'objet, changer les mots de passe associés, signaler sur Cybermalveillance.gouv.fr, puis porter plainte si les faits le justifient.
- Avant l'achat, cherchez le nom du modèle suivi du mot « vulnérabilité ». Ce que vous trouvez sur internet vaut tous les comparatifs.
Pourquoi vos objets connectés sont si faciles à pirater
Un objet connecté, c'est un petit ordinateur qu'on a vendu comme un grille-pain. Il a un processeur, une mémoire, un système d'exploitation — souvent une version de Linux figée à la date de fabrication — et une connexion permanente à internet. Ce qui lui manque, en revanche, c'est tout le reste : pas d'antivirus, pas d'écran pour afficher une alerte, pas de mécanisme simple pour installer un correctif, et personne pour s'en occuper une fois sorti du carton.
Le résultat est mécanique. Sur un grand nombre de modèles vendus en grande surface, la configuration d'usine ouvre un port de communication vers l'extérieur pour permettre l'accès à distance « depuis l'application ». Ce port, c'est une porte. Elle a une serrure. Le code par défaut est souvent admin, ou 123456, ou le numéro de série collé sous l'appareil.
Comment fonctionne un objet connecté ?
Le schéma est presque toujours le même. L'objet capte une information (température, mouvement, image, son), la convertit en données numériques, l'envoie via votre box vers un serveur chez le fabricant, qui la renvoie vers votre téléphone. Votre thermostat ne parle donc pas directement à votre smartphone : il parle à une machine située quelque part, qui parle à votre smartphone.
C'est cette machine intermédiaire qui pose problème. Elle stocke vos habitudes, parfois pendant des mois. Et quand le fabricant disparaît, elle reste allumée sans personne pour la surveiller. J'ai vu ça avec une marque de capteurs d'ouverture de portes rachetée par un groupe qui a fini par laisser les serveurs tourner à l'abandon pendant presque deux ans. Les objets continuaient de fonctionner. Les données continuaient de partir.
Objets connectés : quels risques concrets ?
Trois scénarios reviennent sans arrêt, et aucun n'est théorique.
- L'espionnage domestique : caméra, babyphone, enceinte connectée. Un accès non autorisé permet de voir et d'entendre ce qui se passe chez vous. C'est ce qui m'est arrivé, et c'est arrivé à des milliers d'autres foyers avant moi.
- Le détournement en botnet : votre objet, sans que vous le sachiez, participe à des attaques informatiques. Ce n'est pas vous qui êtes visé, c'est vous qui servez de relais.
- L'exploitation des données personnelles : rythmes de sommeil, présence à domicile, habitudes de consommation. Ces informations se revendent très bien, ou s'exploitent pour du ciblage publicitaire agressif.
Le cas que je trouve le plus sous-estimé concerne le médical. Un tensiomètre ou un lecteur de glycémie connecté transmet des données de santé, qui sont juridiquement plus sensibles que n'importe quel autre type de donnée. La CNIL a d'ailleurs rappelé plusieurs fois que ces appareils relèvent de règles strictes. Sauf qu'à la maison, personne ne lit la notice de conformité avant de brancher le boîtier.
Sécuriser ses objets connectés : les étapes qui changent vraiment quelque chose
La plupart des listes qu'on trouve en ligne s'arrêtent à « changez votre mot de passe ». C'est nécessaire. C'est très loin d'être suffisant. Voici ce qui a réellement réduit ma surface d'exposition, dans l'ordre où je le referais aujourd'hui.
Créer un réseau Wi-Fi invité réservé à l'IoT
Votre box en propose presque toutes un. L'idée est simple : vos objets connectés rejoignent le réseau invité, votre ordinateur et votre téléphone restent sur le réseau principal. Si un objet est compromis, l'attaquant se retrouve dans un couloir fermé au lieu d'être dans votre salon numérique.
Je l'ai fait sur le réseau de mes parents, sans changer aucun appareil. Trois minutes de configuration, une séparation nette. C'est, de très loin, le meilleur rapport effort/résultat de toute cette liste.
Désactiver UPnP et fermer les ports inutiles
UPnP, c'est ce protocole qui permet à un appareil d'ouvrir tout seul une porte dans votre box pour être joignable depuis l'extérieur. Pratique pour l'installateur. Catastrophique pour vous. Beaucoup d'objets l'utilisent pour rendre l'accès distant « plug and play ».
Il se désactive dans les réglages de la box, en général dans les options avancées.
Dans la foulée, jetez un œil aux ports redirigés. Si vous voyez un port associé à un objet que vous ne reconnaissez pas, fermez-le. Et si l'objet permet de changer le port par défaut, faites-le : les scanners automatisés qui cherchent des caméras vulnérables balaient des plages connues, pas des ports exotiques.
Couper ce qui ne sert pas
Un micro qu'on n'utilise jamais reste un micro. Une caméra qu'on n'interroge pas reste une caméra. La plupart des applications de fabricants permettent de désactiver ces capteurs, souvent dans un menu que personne n'ouvre.
Sur ma dernière enceinte connectée, j'ai compté quatre réglages de confidentialité que j'ignorais totalement après huit mois d'usage. Quatre. Le micro était actif en permanence pour l'activation vocale.
Les mises à jour du firmware, sans exception
Un fabricant qui publie un correctif de sécurité corrige une faille déjà connue. Si vous ne l'installez pas, vous laissez la porte ouverte en sachant qu'elle l'est. Le problème, c'est que ces mises à jour sont rarement automatiques et souvent pénibles à déclencher.
Ma règle personnelle : je note dans mon agenda, une fois par trimestre, la liste de mes objets connectés et je vérifie manuellement que chacun tourne sur la dernière version. Ça me prend vingt minutes. C'est le seul rituel que je n'ai jamais abandonné.
Et un objet dont le fabricant a cessé les mises à jour depuis plus de deux ans ? Je le débranche. Sans état d'âme.
Quelle approche choisir selon votre situation
| Approche | Effort initial | Ce que ça bloque vraiment | Pour qui |
|---|---|---|---|
| Mots de passe forts et uniques | Faible | Les attaques par identifiants par défaut | Tout le monde, sans exception |
| Réseau invité dédié à l'IoT | Faible | La propagation latérale vers vos appareils sensibles | Toute maison avec plus de trois objets connectés |
| Désactivation d'UPnP et des ports ouverts | Moyen | L'accès direct depuis internet | Ceux qui ont des caméras ou des alarmes |
| Segmentation par VLAN | Élevé | Presque tout, avec un contrôle fin par appareil | Profils techniques, ou habitat avec objets critiques |
| Débrancher les objets non maintenus | Nul | Les failles qui ne seront jamais corrigées | Le réflexe le plus rentable de cette liste |
La segmentation par VLAN demande un routeur compatible et une bonne demi-journée de configuration. Je l'ai tentée chez moi, je me suis trompé deux fois dans les règles de filtrage, et j'ai fini par revenir au réseau invité, plus simple et suffisant pour mon usage. Avouons-le : la solution parfaite qu'on n'arrive pas à maintenir ne vaut rien face à la solution imparfaite qu'on applique vraiment.
Ce que le RGPD vous permet d'exiger d'un fabricant
Un objet connecté collecte des données personnelles. À ce titre, le RGPD s'applique, même si le fabricant est situé hors de l'Union européenne dès lors qu'il cible le marché européen.
Concrètement, vous pouvez écrire au fabricant pour demander quelles données sont collectées, à qui elles sont transmises, combien de temps elles sont conservées, et exiger leur suppression. Vous pouvez aussi vous opposer à leur usage publicitaire.
J'ai fait l'exercice une fois, par curiosité, pour une marque de balance connectée. La réponse a mis cinq semaines. Elle était incomplète. Mais elle listait trois sous-traitants que je ne connaissais pas, dont un situé hors de l'Union. Sans cette demande, je n'aurais jamais su où partaient mes relevés de poids.
En cas de réponse absente ou insuffisante, la CNIL est l'autorité à saisir. Et côté matériel, le cadre européen se durcit : un label de cybersécurité devient progressivement exigible pour les objets connectés mis sur le marché européen. C'est une bonne nouvelle pour tout le monde, sauf pour les fabricants qui vendaient du matériel sans correctifs.
Que faire si un objet a été piraté ?
Coupez l'objet du réseau. Pas l'éteindre mollement : le débrancher, ou le retirer du Wi-Fi depuis l'application de la box.
Ensuite, changez tous les mots de passe liés à ce compte, en commençant par celui de la messagerie associée. Puis signalez l'incident sur la plateforme Cybermalveillance.gouv.fr, qui oriente vers la bonne procédure selon le type d'atteinte. Si des images ont été captées, si un accès frauduleux est avéré, ou si des données bancaires sont concernées, le dépôt de plainte est la suite logique.
Un détail qu'on oublie souvent : si l'objet était relié à un compte Google ou Apple, vérifiez les sessions actives. J'ai trouvé une session inconnue sur mon compte après mon histoire de caméra. Elle datait de plusieurs semaines.
Le réflexe à avoir avant chaque achat
Tapez le nom exact du modèle suivi du mot « vulnérabilité » dans un moteur de recherche. Ce que vous trouvez à ce moment-là vaut mieux que n'importe quel argumentaire commercial.
Un objet qui n'a jamais fait parler de lui côté sécurité, ce n'est pas forcément bon signe — ça peut vouloir dire que personne ne l'a examiné. Un objet dont les failles sont documentées et corrigées est souvent plus rassurant qu'un objet parfaitement silencieux.
Et posez-vous une question toute bête : ai-je vraiment besoin que ce truc parle à internet ? Un capteur de température qui affiche sur un petit écran local fait très bien le travail sans transmettre quoi que ce soit à personne.
La maison connectée n'est pas un problème en soi. Le problème, c'est qu'on l'installe comme on installe une lampe, alors qu'on devrait l'installer comme on installe une serrure. Avec un temps d'arrêt, un doute, et une vérification. Le jour où un inconnu a parlé dans mon entrée, j'ai compris la différence. Vous n'avez pas besoin de vivre la même scène pour la comprendre.
