Un objet connecté est un appareil capable d’échanger des données via Wi-Fi, Bluetooth ou réseau mobile. Thermostat, caméra de surveillance, montre, enceinte vocale : chacun capte des informations sur son environnement immédiat et les transmet à des serveurs distants. Les failles de sécurité présentes dans ces appareils exposent directement la vie privée des utilisateurs, parfois sans qu’ils en aient conscience.
Surface d’attaque IoT : pourquoi les objets connectés sont structurellement vulnérables
Un ordinateur ou un smartphone reçoit des mises à jour régulières de son système d’exploitation. La plupart des objets connectés grand public fonctionnent différemment. Leur firmware est souvent figé après la mise sur le marché, sans mécanisme de mise à jour automatique.
A voir aussi : ODT en DOCX en toute sécurité : protéger vos documents sensibles
Cette absence de suivi logiciel crée une surface d’attaque permanente. Une vulnérabilité découverte six mois après la commercialisation d’une caméra à bas coût restera exploitable pendant toute la durée de vie de l’appareil si le fabricant ne publie aucun correctif.
Lors de la Rencontre Entreprises DOCtorants en Sécurité (REDOCS) organisée par le GDR Sécurité Informatique, la CNIL a fait analyser par cinq doctorants plusieurs catégories d’objets connectés achetés en ligne : caméras de vidéosurveillance à bas coût, jouets connectés, dispositifs médicaux et enceintes connectées. La méthodologie d’unboxing utilisée a révélé des failles dès la première utilisation de ces appareils, avant même toute configuration avancée.
A lire également : Sécuriser une connexion wifi dans un espace public
Le problème ne se limite pas au logiciel. Les protocoles de communication eux-mêmes posent question. Un appareil qui transmet ses données en clair sur le réseau local permet à toute personne connectée au même réseau Wi-Fi d’intercepter les informations échangées.
Données collectées par les appareils IoT : ce qui transite réellement
La nature des données captées par les objets connectés dépasse souvent ce que l’utilisateur imagine. Une enceinte vocale enregistre des commandes vocales, mais aussi des fragments de conversation ambiante. Un thermostat intelligent connaît les heures de présence et d’absence du foyer. Une montre connectée stocke le rythme cardiaque, les cycles de sommeil et la géolocalisation.
Croisées entre elles, ces informations dessinent un profil détaillé des habitudes de vie. Vincent Roca, responsable de l’équipe-projet PRIVATICS d’Inria, alerte sur cette capacité de croisement inédit des données rendue possible par les objets connectés, qui donnent accès à des domaines jusque-là inaccessibles.
Le transfert de ces données vers des serveurs situés hors de l’Union européenne ajoute une couche de risque. Les conditions d’utilisation de nombreux appareils prévoient un stockage sur des infrastructures cloud dont la localisation reste floue pour l’utilisateur final.
Cyber Resilience Act : la cybersécurité comme condition d’accès au marché européen
Jusqu’à récemment, la sécurité des objets connectés relevait de recommandations et de bonnes pratiques. Le Cyber Resilience Act (Règlement (UE) 2024/2847), entré en vigueur le 10 décembre 2024, change la donne. Ce règlement européen fait de la cybersécurité une condition d’accès au marché pour tous les produits comportant des éléments numériques.
Concrètement, un objet connecté vendu dans l’Union européenne devra être sécurisé dès la conception et maintenu pendant toute sa durée de vie. Le marquage CE, autrefois limité à la sécurité physique et électrique, intègre désormais des exigences de cybersécurité. Les sanctions prévues peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
Notification obligatoire des vulnérabilités dès septembre 2026
Le CRA introduit une obligation qui n’existait pas pour les fabricants d’objets connectés : signaler toute vulnérabilité activement exploitée dans un délai de 24 heures. À partir du 11 septembre 2026, les fabricants devront envoyer un premier avertissement dans les 24 heures suivant la découverte, puis une notification complète sous 72 heures, via une plateforme européenne unique.
Ce mécanisme vise à mettre fin à une pratique courante : la dissimulation des failles par les fabricants pour éviter l’impact réputationnel. Les utilisateurs sauront, en principe, quand leur appareil présente un risque actif.
- Premier avertissement sous 24 heures pour toute vulnérabilité activement exploitée
- Notification détaillée sous 72 heures transmise via une plateforme centralisée
- Rapport final incluant les mesures correctives appliquées
- Sanctions financières en cas de non-respect des délais
Réduire les risques sur son réseau domestique : les leviers techniques
En attendant l’application complète du CRA, la protection repose encore largement sur les utilisateurs. Certains leviers techniques limitent significativement l’exposition des données personnelles.
Le premier concerne l’isolation réseau des appareils IoT. La plupart des routeurs domestiques récents permettent de créer un réseau Wi-Fi secondaire (réseau invité ou VLAN). Placer les objets connectés sur ce réseau séparé empêche un appareil compromis d’accéder aux données stockées sur les ordinateurs et smartphones du foyer.
Le second levier est la vérification des mots de passe par défaut. De nombreuses caméras et enceintes connectées sont livrées avec des identifiants génériques (admin/admin, par exemple). Ne pas les modifier revient à laisser une porte ouverte sur le réseau.
- Créer un réseau Wi-Fi dédié aux objets connectés, isolé du réseau principal
- Modifier systématiquement les identifiants par défaut de chaque appareil
- Désactiver les fonctionnalités inutilisées (micro, géolocalisation, accès distant)
- Vérifier régulièrement la disponibilité de mises à jour firmware
Le choix de l’appareil lui-même compte. Un fabricant qui ne publie aucune politique de mise à jour ou qui ne précise pas la durée de support logiciel envoie un signal clair sur sa gestion des vulnérabilités.
Le cadre réglementaire européen rattrapera progressivement les fabricants les moins rigoureux. D’ici là, chaque objet connecté ajouté au réseau domestique reste un point d’entrée potentiel. Choisir un appareil revient aussi à choisir le niveau de risque accepté pour ses données personnelles.
