Comment sécuriser vos objets connectés contre le piratage

La semaine dernière, ma belle-sœur m'appelle, un peu paniquée. Sa box affichait une quinzaine d'appareils connectés alors qu'elle en compte cinq dans sa tête. Le sixième était une caméra qu'elle n'avait pas installée, branchée sur son réseau depuis des semaines. Ah, et son mot de passe Wi-Fi était le même depuis le premier jour. Celui inscrit sur l'étiquette au dos de la box.

Voilà le problème avec les objets connectés. On les installe en trois minutes, on les oublie, et ils continuent à causer sur notre réseau pendant des années sans que personne ne vérifie quoi que ce soit. Alors comment sécuriser ses objets connectés contre le piratage quand on n'est pas informaticien ? Ce n'est pas très compliqué. C'est juste chiant, répétitif, et personne ne vous le vendra comme un argument marketing.

Sécuriser ses objets connectés : ça commence avant l'achat

Franchement, la meilleure action de sécurité, vous la posez dans le rayon du magasin ou sur la page produit. Un objet connecté mal conçu à la base, vous pourrez le configurer aussi proprement que vous voulez, il restera une passoire. Sauf que les fiches produits ne parlent jamais de ça. Elles vous vendent du RGB et de la reconnaissance vocale.

Quels sont les dangers des objets connectés ?

Un objet connecté est un matériel électronique relié directement ou indirectement à Internet, capable d'envoyer ou de recevoir des informations par le réseau. Le danger découle de cette définition même : chaque appareil connecté est une surface d'attaque supplémentaire ouverte sur l'extérieur.

Concrètement, on observe trois types de problèmes. Une caméra IP ou un baby-phone mal protégé peut être détourné pour espionner l'intérieur d'un logement. Une montre ou un bracelet qui collecte des données de santé devient une source d'informations personnelles revendables. Et le scénario le plus vicieux : un objet compromis sert de tremplin pour atteindre les autres machines du foyer, ordinateur compris.

J'ai un voisin qui a découvert que son aspirateur robot envoyait des requêtes vers un serveur inconnu toutes les dix minutes. Il ne l'a jamais su avant d'installer un blocage DNS sur sa box. L'aspirateur fonctionnait très bien. C'est bien ça, le problème.

Les critères à vérifier avant de payer

Ce que je regarde désormais systématiquement, dans cet ordre :

• Le fabricant annonce-t-il une durée de support logiciel ? Un appareil dont les mises à jour s'arrêtent au bout de deux ans est un appareil mort à retardement.
• Existe-t-il une politique de divulgation de vulnérabilités ? Une page « security » sur le site, un contact pour signaler une faille. Si rien n'existe, c'est mauvais signe.
• Le produit respecte-t-il un référentiel de cybersécurité reconnu, comme la norme ETSI EN 303 645, ou s'inscrit-il dans les obligations de cybersécurité qui montent en puissance côté européen ?
• Peut-on le faire fonctionner sans passer par le cloud du fabricant ? Un appareil qui exige une connexion permanente à un serveur distant pour une fonction basique, c'est un point de défaillance de plus.

Un point secondaire mais réel : les marques inconnues vendues à prix cassé sur les places de marché. Pas par principe, mais parce qu'on n'a aucun moyen de savoir ce qu'elles feront de vos données ni combien de temps elles corrigeront les failles. Dans mon entourage, les deux piratages d'objets que je connais concernaient des caméras achetées à moins de 25 euros.

Comment sécuriser les objets connectés, concrètement

La méthode tient en une soirée. Une seule. Mais il faut la faire pour tous les appareils, et recommencer quand un nouveau débarque à la maison. C'est là que tout le monde décroche.

Identifiants par défaut et mises à jour : les deux fondations

Premier réflexe : changer les identifiants par défaut de chaque objet, immédiatement après l'installation. Les mots de passe du type « admin/admin » ou « 1234 » sont connus de tous les outils de scan automatisés. Un mot de passe unique et long par appareil, éventuellement noté dans un gestionnaire de mots de passe, suffit.

Deuxième réflexe : activer les mises à jour automatiques, et vérifier régulièrement dans le menu de l'application ou de l'interface web que le firmware est à jour. Le problème, c'est que peu de fabricants poussent les correctifs sans intervention. Un objet installé puis oublié tourne souvent sur un firmware vieux de plusieurs années.

Isoler les objets connectés sur un réseau séparé

C'est l'astuce que je répète le plus souvent, et celle qui change tout. La plupart des box récentes proposent un réseau invité. L'idée : y basculer tous les objets connectés, et garder l'ordinateur, le NAS et les téléphones sur le réseau principal. Si un objet est piraté, l'attaquant reste enfermé sur le réseau invité et n'atteint pas les machines qui comptent.

Sur ma propre box, cette séparation m'a coûté vingt minutes de configuration un dimanche. Depuis, quand une ampoule connectée fait des siennes, je la coupe sans anxiété. Elle n'a accès à rien d'important de toute façon.

Désactiver tout ce qui ne sert pas

Un micro ouvert, une caméra qui filme en permanence, un partage de fichiers activé par défaut : chaque fonction non utilisée est une porte de plus. Coupez la reconnaissance vocale si vous ne vous en servez pas. Désactivez l'accès à distance quand vous êtes chez vous. Fermez les comptes tiers inutiles.

Un contrôle rapide : les ports ouverts

Un scanner de ports, depuis votre réseau, révèle les services qu'un appareil expose. Un objet qui affiche un port d'administration accessible alors qu'il ne devrait rien exposer mérite votre méfiance. Ce n'est pas une manipulation de spécialiste : un outil de scan grand public suffit à repérer l'anormal. Si vous voyez un service inconnu ouvert, cherchez la cause avant de l'ignorer.

Comment éviter le piratage de mon WiFi ?

Votre Wi-Fi est la porte d'entrée de tous vos objets. Le sécuriser revient souvent à corriger des erreurs basiques, accumulées au fil des déménagements et des changements de box.

• Le mot de passe affiché sur l'étiquette de la box est un secret public. Changez-le.
• Le chiffrement doit être en WPA2 ou WPA3. Si votre routeur propose encore WEP, il est temps d'en changer.
• Désactivez le WPS, ce bouton de connexion rapide qui facilite l'appairage... et les intrusions.
• Cachez le SSID ? Facultatif, et souvent inutile : cela ne protège pas d'un attaquant motivé.
• Vérifiez régulièrement la liste des appareils connectés depuis l'interface de la box.

Cette liste, c'est l'outil le plus sous-estimé. Un appareil que vous ne reconnaissez pas, et vous savez immédiatement que quelque chose cloche. C'est exactement ainsi que ma belle-sœur a repéré sa caméra fantôme.

Et au-delà des objets : sécuriser son usage numérique

Un objet connecté n'est jamais isolé. Il partage votre box, souvent votre compte cloud, parfois votre adresse e-mail. La sécurité de l'un dépend de la solidité des autres.

Quelques habitudes qui paient :

1. Un mot de passe fort et distinct par appareil ou service, jamais réutilisé.
2. La double authentification partout où elle est disponible, en priorité sur la messagerie et le compte fabricant.
3. Des mises à jour régulières, pas seulement pour les objets, mais pour la box, le téléphone et l'ordinateur.
4. Une méfiance de principe envers les e-mails ou SMS qui vous demandent d'agir vite ou de cliquer sur un lien. Le hameçonnage reste le premier vecteur d'attaque.

Rien de spectaculaire. C'est même un peu ennuyeux. Mais c'est ce qui fonctionne.

Objet connecté piraté : que faire ?

Quelques signes doivent vous alerter : connexions inhabituelles dans l'interface de la box, appareil qui chauffe ou ralentit sans raison, notifications de connexion depuis un lieu inconnu, données qui partent vers des adresses non sollicitées.

La procédure en cas de doute

1. Déconnecter l'objet du réseau, immédiatement.
2. Réinitialiser l'appareil aux paramètres d'usine, puis changer tous les identifiants associés.
3. Vérifier si d'autres appareils du réseau ont été touchés, notamment en examinant les journaux de la box.
4. Sauvegarder les éléments suspects (captures d'écran, traces) avant d'effacer quoi que ce soit.
5. Signaler l'incident sur Cybermalveillance.gouv.fr, le service public d'assistance aux victimes de cybermalveillance. En cas de préjudice sérieux, une plainte peut compléter la démarche.

Un dernier point : si le fabricant ne publie plus de mises à jour pour l'appareil, la bonne décision est parfois de le débrancher pour de bon. Un objet connecté qui ne reçoit plus de correctifs de sécurité est un objet qu'on a acheté pour se faciliter la vie, et qui finit par la compliquer.

Un dernier mot, moins rassurant que les autres

La vérité, c'est qu'on ne sécurise jamais complètement un objet connecté. On réduit les risques, on ferme les portes les plus évidentes, on accepte de passer vingt minutes par appareil une fois pour toutes. Et on recommence quand le prochain gadget arrive.

Ce qui m'inquiète le plus, ce n'est pas la faille technique : c'est l'oubli. Les objets connectés sont conçus pour disparaître dans le décor. C'est précisément pour ça qu'ils sont dangereux. Un appareil qu'on oublie ne se met pas à jour, ne se surveille pas, ne se protège pas.

Alors la vraie question n'est peut-être pas « comment sécuriser mes objets connectés », mais « ai-je encore envie de les voir ? ». Si la réponse est non, débranchez-les. Ce sera votre meilleure mesure de sécurité.