Comment sécuriser ses objets connectés contre les cyberattaques

Une lampe connectée achetée 24 €, un thermostat, deux caméras, une enceinte : voilà ce que ma belle-sœur m'a énuméré au téléphone quand elle m'a demandé « mais qu'est-ce que je risque vraiment ? ». Ce qui l'a décidée, ce n'est pas un article sur la domotique. C'est son voisin qui, depuis son canapé, a réussi à changer la couleur de ses ampoules. Il n'était pas hacker. Il avait juste gardé le mot de passe par défaut, comme tout le monde.

C'est là que commence la vraie question : comment sécuriser ses objets connectés contre les cyberattaques quand on n'est ni informaticien, ni paranoïaque, et qu'on veut juste que sa maison marche ? Je vais vous épargner le couplet sur « l'Internet des objets qui explose ». Vous le savez. Ce qui manque, en général, c'est la procédure concrète et ce qu'on fait quand le mal est déjà fait.

Sécuriser ses objets connectés : commencez par le réseau, pas par l'application

La plupart des guides vous font commencer par le mot de passe de la caméra. C'est utile. Ce n'est pas l'essentiel. L'essentiel, c'est ce qui se passe autour de l'objet.

Je m'explique. Une caméra IP compromise ne vous coûte pas grand-chose si elle est seule sur son coin de réseau et n'a accès ni à votre ordinateur, ni à votre box, ni à vos comptes. À l'inverse, une caméra bien configurée mais branchée sur le même réseau que votre PC de travail peut servir de tremplin vers tout le reste. J'ai vu exactement ça sur un petit cabinet de comptabilité : deux ampoules connectées oubliées dans la salle de repos, et un poste de travail qui commençait à faire des requêtes bizarres. Rien de dramatique, mais deux jours de nettoyage.

Isoler ses objets : le mode d'emploi réaliste

Trois options, de la plus simple à la plus technique. Vérifiez ce que votre box supporte avant de vous lancer.

• Le réseau invité. Presque toutes les box en ont un. Vous y mettez vos objets, et vous n'activez pas le « accès au réseau local ». Gratuit, fait en cinq minutes.
• Un points d'accès dédié. Un vieux routeur en mode bridge, un SSID caché, un mot de passe à part. Comptez une heure, un peu plus si vous n'avez jamais touché à l'interface.
• Un VLAN. La solution propre. Vous séparez physiquement les flux, vous appliquez des règles. Franchement réservé à ceux qui savent déjà ce qu'est un masque de sous-réseau, ou qui sont prêts à y consacrer un week-end.

Dans ma propre maison, j'ai vécu dix-huit mois avec l'option 1. Ça a très bien tenu. Je suis passé au VLAN quand j'ai voulu accéder à mes caméras depuis l'extérieur sans exposer le reste. Le gain réel du VLAN, ce n'est pas la performance. C'est la tranquillité d'esprit.

Comment fonctionne un objet connecté (et pourquoi ça compte pour votre sécurité)

Un objet connecté, c'est trois briques : un capteur ou un actionneur, un petit cerveau (souvent un microcontrôleur sous Linux ou un OS maison), et une puce réseau. Chacune peut être la porte d'entrée.

Le point faible n'est presque jamais le capteur. C'est le logiciel embarqué, ce firmware que l'on oublie de mettre à jour pendant trois ans. Une caméra qui n'a pas reçu de correctif depuis deux ans est une caméra qui traîne des failles connues, documentées, et déjà utilisées par des scripts automatiques. Vous n'êtes pas visé personnellement. Vous êtes scanné, comme tout le monde.

Conséquence pratique : cherchez la mention « mises à jour de sécurité » dans la fiche produit. Pas seulement « application mobile ». Et vérifiez si vous pouvez mettre à jour l'objet sans passer par un compte constructeur.

La checklist que j'applique (et que je rate parfois)

Voici l'ordre dans lequel j'opère, parce qu'il donne les meilleurs résultats pour le moins d'effort.

1. Changer l'identifiant et le mot de passe par défaut. Tous les deux. Pas seulement le mot de passe.
2. Mettre à jour le firmware immédiatement après la première connexion. Si l'objet refuse la mise à jour : retour au vendeur.
3. Désactiver ce qui ne sert pas : UPnP, accès distant, port de débogage, fonction cloud quand vous n'en avez pas besoin.
4. Changer le mot de passe Wi-Fi de l'objet, une phrase de passe longue, unique.
5. Activer le chiffrement et faire un point tous les deux mois sur les mises à jour.
6. Et une dernière, que l'on oublie : vérifier la liste des appareils connectés de la box. Un nom inconnu, c'est un signal.

Sur les mots de passe, je ne vais pas vous refaire le laïus. Un gestionnaire de mots de passe, une phrase de passe de quatre mots pour ce qui compte le plus, et surtout : jamais le même mot de passe pour l'application de la caméra et pour votre boîte mail. C'est la faute que j'ai commise pendant deux ans, en me disant que c'était « juste des ampoules ». Le jour où j'ai fait fuiter un identifiant, j'ai compris à quel point c'était bête.

Choisir un objet sûr : ce qu'il faut demander avant d'acheter

Il existe un label européen, le EN 18031, et une norme technique, l'ETSI EN 303 645, qui fixent des exigences minimales. Un fabricant qui les respecte peut le prouver. Un fabricant qui ne peut pas le prouver ne le respecte probablement pas.

Trois questions à poser, en magasin ou en support :

• Jusqu'à quand mon objet recevra-t-il des correctifs ? (Une réponse vague = pas de suivi.)
• Où sont stockées mes données, et comment les supprimer ?
• Que se passe-t-il si je change de box internet ?

Critère	Objet grand public « bas de gamme »	Objet avec suivi logiciel
Mises à jour de sécurité	Rarement, sans engagement	Annoncées, avec date de fin
Compte obligatoire	Souvent, sans alternative	Optionnel ou documenté
Fonctionnement local	Non	Oui, sans passer par le cloud
Prix moyen	Très bas	Deux à trois fois plus cher

Oui, c'est plus cher. Mais un objet suivi pendant cinq ans coûte parfois moins, étalé sur la durée, qu'un objet non suivi qu'on remplace tous les dix-huit mois parce qu'il est devenu une passoire.

Le volet qu'on oublie : site web, HTTPS et mots de passe

Vous avez peut-être un site vitrine ou une boutique, et vous vous demandez ce que la sécurité de vos ampoules vient faire là. En réalité, beaucoup d'utilisateurs commettent la même erreur : réutiliser l'identifiant de leur site web pour leur objet connecté. Une fuite sur l'un rend l'autre vulnérable.

Sur la protection d'un site internet, deux réflexes suffisent dans 80 % des cas : un certificat HTTPS valide et renouvelé automatiquement, et une séparation nette entre les comptes d'administration et les comptes d'usage courant. La mise en œuvre est d'une simplicité désarmante côté hébergeur, vous cochez une case, ça prend dix minutes. Le problème, c'est que beaucoup ne le font pas parce qu'ils ne savent pas où regarder.

Pour gérer vos mots de passe de façon sereine : un gestionnaire unique, des phrases de passe longues, et surtout une vérification trimestrielle de vos comptes administrateurs. J'ai tenu un tableur pendant des années. Je l'ai abandonné. Les gestionnaires font mieux, et je m'en porte très bien.

Que faire en cas de cyberattaque sur un objet connecté ?

La panique est mauvaise conseillère. Voici une procédure que j'ai testée en vrai, sur un objet qui avait manifestement été compromis : des requêtes sortantes toutes les trente secondes, une caméra qui clignotait alors qu'elle n'aurait pas dû.

1. Débrancher l'objet du réseau. Le câble, la prise, peu importe. Coupez la connexion avant tout diagnostic.
2. Ne pas le brancher sur votre ordinateur « pour voir ». C'est le geste qui transforme un incident en infection.
3. Changer les mots de passe du compte constructeur associé, et de tout compte réutilisé.
4. Réinitialiser l'appareil aux paramètres d'usine, puis reconfigurer en repartant de zéro.
5. Documenter ce qui s'est passé, même brièvement. Si l'objet contient des données de santé, l'incident peut avoir des suites légales.
6. Signaler l'incident sur le portail de cybermalveillance.gouv.fr. Ce n'est pas de la paperasse : ça alimente les alertes nationales.

Le point 6 est celui que tout le monde saute. Pourtant, sur des objets grand public, ce sont bien souvent les signalements des particuliers qui font bouger les fabricants.

IoT médical : un cran au-dessus

Un tensiomètre ou un glucomètre connecté n'est pas une ampoule. Les données de santé ont une valeur marchande réelle, et les dispositifs médicaux relèvent d'exigences réglementaires plus strictes. Dans ce cas, privilégiez les objets dont la conformité est documentée, évitez les applications tierces qui demandent un accès complet au carnet de santé, et, franchement, limitez le partage des données au strict nécessaire.

Le reste ne change pas beaucoup : si le fabricant a arrêté le suivi, le dispositif doit être mis hors service sur le plan connecté. Un objet médical qui ne reçoit plus de correctifs est une passoire avec un joli boîtier.

Ce qui reste quand on a tout coché

Vous aurez remarqué que je ne vous ai pas promis la sécurité totale. Je ne peux pas. Ce que je peux affirmer, c'est qu'après avoir passé une demi-journée sur mon installation, mon exposition a chuté de manière très nette : plus d'objets sur le réseau principal, un seul point d'entrée, des mises à jour suivies. Ce n'est pas parfait, mais c'est raisonnable.

Et il y a une question que je n'arrive pas à trancher, même après des années à installer ce genre de choses : combien d'objets connectés faut-il vraiment dans une maison ? Ma réponse personnelle : beaucoup moins qu'on ne le croit. Le confort gagné est réel. Le coût, en attention et en maintenance, l'est aussi. Reste à savoir lequel des deux pèse le plus lourd dans la balance, et ça, personne ne peut le décider à votre place.