Pourquoi les objets connectés sont une cible facile
Contrairement à un ordinateur, la plupart des objets connectés domestiques ne reçoivent jamais de mise à jour de sécurité manuelle : soit le fabricant pousse un correctif automatiquement, soit l'appareil reste vulnérable indéfiniment sans que l'utilisateur s'en rende compte.
Le mot de passe par défaut, faille numéro un
Une caméra ou un hub laissé sur son mot de passe d'usine reste accessible à quiconque connaît ce mot de passe générique, publié dans la documentation publique du fabricant.
Le firmware jamais mis à jour
Un objet acheté il y a deux ou trois ans peut tourner sur une version de firmware dont les failles connues sont documentées publiquement, sans que l'utilisateur ait été notifié d'un correctif disponible.
Isoler les objets connectés sur un réseau séparé
La plupart des box internet récentes proposent un réseau WiFi invité, distinct du réseau principal utilisé par les ordinateurs et téléphones personnels.
- Activer le réseau WiFi invité dans l'interface d'administration de la box
- Connecter les ampoules, prises, caméras et hubs sur ce réseau invité plutôt que sur le réseau principal
- Vérifier que le réseau invité est bien isolé du réseau principal (option souvent nommée "isolation client" ou "isolation AP" dans les paramètres avancés)
- Garder ordinateurs, téléphones et données personnelles sur le réseau principal, séparé des objets connectés
À retenirMême sans compétence technique avancée, cette seule séparation limite fortement les conséquences si un objet connecté venait à être compromis : l'intrus reste bloqué sur le réseau invité, sans accès direct aux appareils personnels.
Cinq réflexes simples à appliquer des l'installation
- Changer chaque mot de passe par défaut avant même la première utilisation de l'appareil
- Activer les mises à jour automatiques quand l'application le propose, plutôt que de les reporter indéfiniment
- Désactiver l'accès à distance (UPnP, port forwarding) pour les appareils qui n'en ont pas l'usage réel
- Utiliser une adresse email dédiée pour les comptes des objets connectés, séparée de l'adresse email principale
- Vérifier les permissions de chaque application installée sur le téléphone pour piloter les objets de la maison
Le cas particulier des caméras et sonnettes
Les caméras et sonnettes connectées méritent une attention particulière : une intrusion sur ces appareils expose directement une image du domicile, pas seulement des données techniques abstraites.
- Activer systématiquement la double authentification quand l'application la propose
- Ne jamais réutiliser un mot de passe déjà utilise sur un autre service en ligne
- Vérifier régulièrement la liste des appareils connectés au compte dans l'application du fabricant
Que faire si un objet connecté semble compromis
Un comportement anormal (redémarrages inexpliqués, activité réseau en pleine nuit, appareil qui apparaît connecté alors que personne ne l'utilise) mérite une réaction rapide plutôt qu'attentiste.
Les signes qui doivent alerter
- L'appareil se déconnecté et se reconnecte seul de manière répétée sans raison apparente
- Le voyant d'activité (caméra, hub) s'allume à des heures ou personne n'utilise l'application
- Un nouvel appareil inconnu apparaît dans la liste des objets liés au compte du fabricant
- L'application signale une connexion depuis une localisation ou un appareil non reconnu
La procédure de réinitialisation
En cas de doute sérieux, la réinitialisation complète aux paramètres d'usine (généralement un bouton reset maintenu quelques secondes) suivie d'un nouvel appairage avec un mot de passe différent reste la réponse la plus sûre. Changer aussi le mot de passe du compte fabricant associé, et celui du réseau WiFi invité si plusieurs appareils semblent concernés en même temps.
Réglages de la box internet à vérifier
Au-delà du réseau invité déjà évoqué, quelques réglages présents sur la plupart des box grand public en France réduisent encore la surface d'attaque exposée par les objets connectés.
- Changer l'identifiant et le mot de passe d'administration de la box eux-mêmes, souvent laisses sur leur valeur par défaut alors qu'ils contrôlent tous les autres réglages
- Désactiver l'UPnP (Universal Plug and Play) si aucun appareil n'en a explicitement besoin : cette fonction permet à des objets connectés d'ouvrir eux-mêmes des ports vers l'extérieur sans validation manuelle
- Vérifier la liste des ports ouverts manuellement dans l'interface de la box et fermer ceux qui ne correspondent plus à un usage actif
- Activer les mises à jour automatiques du micrologiciel de la box elle-même, généralement gérée directement par le fournisseur d'accès
Acheter en pensant sécurité des la commande
La sécurité d'un objet connecté se joue en partie avant même l'installation, des le choix du modèle et du fabricant.
- Préférer des marques qui publient régulièrement des mises à jour de firmware documentées, plutôt qu'un modèle générique sans nom de marque identifiable
- Vérifier les avis récents (pas seulement la note moyenne globale) pour repérer d'éventuels signalements de failles ou de comptes compromis remontes par d'autres utilisateurs
- Se méfier d'un prix anormalement bas sur un objet censé protéger le logement (serrure, caméra) : un écart de prix important par rapport aux références établies s'explique parfois par des composants ou un suivi logiciel au rabais
- Vérifier si le fabricant propose une authentification à deux facteurs sur son application avant l'achat, plutôt que de le découvrir après coup
Objets connectés en fin de vie : le risque souvent oublie
Un objet connecté qui fonctionne encore physiquement peut malgré tout devenir un risque quand le fabricant arrête d'en assurer le suivi logiciel, une situation fréquente sur du matériel entrée de gamme après quelques années.
Un produit qui n'est plus mis à jour
Sans annonce officielle d'arrêt de support, la meilleure indication reste la date de la dernière mise à jour visible dans l'application : plus d'un an sans mise à jour sur un appareil connecté à internet en permanence justifie une vigilance renforcée, voire un remplacement si l'appareil occupe une fonction sensible (serrure, caméra).
Revendre ou jeter un objet connecté en toute sécurité
Avant de revendre, donner ou jeter un objet connecté, une réinitialisation aux paramètres d'usine efface les identifiants de réseau WiFi et les éventuelles données de compte encore présentes sur l'appareil. Cette étape simple évite qu'un ancien objet ne garde en mémoire des informations d'accès au réseau du domicile précédent.