Avec une simple ampoule ou une prise de courant installée à la maison, vous pouvez vous retrouver piraté et filmé à votre insu. Les objets connectés du quotidien ont littéralement envahi nos intérieurs. Ils sont devenus si populaires et indispensables que les pirates informatiques en ont fait leur cible privilégiée. Il est inutile de penser que ce fléau ne touche que les passionnés de technologie ayant équipé leur domicile d’une domotique de pointe. Nous sommes absolument tous concernés. À l’heure actuelle, une maison standard subit en moyenne 29 cyberattaques par jour.
Si vous n’avez pas pris les mesures nécessaires, votre intimité et vos données personnelles peuvent se retrouver exposées sur Internet, alimentant un marché noir qui génère des centaines de millions de dollars. Il suffit de regarder son propre logement sous un angle différent : au fil des années, un foyer moyen a accumulé entre 20 et 25 appareils connectés. On les appelle les IoT, pour Internet of Things (l’Internet des objets). De la caméra de surveillance aux ampoules intelligentes, en passant par les téléviseurs et les aspirateurs, la liste est longue. Le problème majeur réside dans le fait que la sécurité de ces dispositifs laisse cruellement à désirer.
Des failles béantes dès la conception
Un cas emblématique illustre parfaitement l’ampleur de la menace. L’ingénieur Sami Azoufal, en cherchant à bricoler sa manette de console pour piloter son propre aspirateur robot, a mis le doigt sur un bug critique. Il a découvert une faille d’autorisation côté serveur qui lui a donné le contrôle total d’environ 7 000 appareils répartis dans 24 pays. Ces aspirateurs étant équipés de caméras embarquées, il a pu accéder aux flux vidéo en direct, activer les micros, récupérer les plans détaillés des logements et géolocaliser précisément les propriétaires. Ce défaut de sécurité provenait directement de l’appareil et de l’infrastructure du fabricant DJI, qui a dû déployer des correctifs en urgence.
Cependant, les fabricants ne sont pas les seuls responsables. Des centaines de milliers de caméras personnelles se retrouvent librement exposées sur Internet, accessibles à n’importe qui. Des sites spécialisés cartographient et recensent en quelques secondes toutes ces caméras non sécurisées. Grâce à de simples filtres, un individu peut afficher les caméras d’un pays entier et cibler des pièces spécifiques. Le plus troublant est que dans 70 % des cas, ces caméras n’ont même pas nécessité de piratage complexe : ce sont les propriétaires eux-mêmes qui sont en cause.
Lors de la première installation d’une caméra IP, le fabricant fournit des identifiants d’usine standards. La plupart du temps, ces mots de passe par défaut ne sont jamais modifiés par l’utilisateur. Pour les pirates, c’est une aubaine. Ils n’ont qu’à utiliser des identifiants basiques comme « admin » et « admin123 », souvent listés publiquement sur le site même des fabricants. À l’aide de moteurs de recherche comme Shodan, qui balaient en permanence des milliards d’adresses IP, les hackers scannent Internet pour trouver les équipements qui répondent. Ils n’ont pas besoin de vous cibler personnellement : ils cherchent un modèle vulnérable, et votre appareil tombe dans leurs filets.
Le mouvement latéral : de l’ampoule à l’ordinateur
Même les objets les plus inoffensifs posent un risque majeur. Valéria Loscri, directrice de recherche à l’Inria, explique que de simples ampoules connectées en disent long sur notre vie privée. L’analyse des données échangées avec le cloud montre que la moindre commande pour allumer ou éteindre la lumière est envoyée sur des serveurs distants. Ces métadonnées, en apparence anodines, révèlent avec précision les habitudes quotidiennes et les heures de présence des occupants d’une maison.
Mais le véritable objectif du pirate qui prend le contrôle de votre ampoule n’est pas de jouer avec la lumière. Il cherche à pénétrer votre réseau domestique. Habituellement, votre box Internet bloque les intrusions extérieures. Cependant, une fois à l’intérieur du réseau, les appareils communiquent librement entre eux. L’ampoule piratée devient un point d’appui redoutable. Depuis cet accès, le hacker dresse la carte de votre réseau local, repère votre ordinateur, votre télévision ou votre caméra, et répète son attaque en cherchant d’autres mots de passe par défaut. C’est ce que l’on appelle le mouvement latéral.
Un business criminel extrêmement lucratif
L’immense majorité de ces intrusions a pour but de générer du profit. La première méthode consiste à capter des vidéos de votre intimité pour vous faire chanter ou pour les revendre. En 2025, la société de cybersécurité Yarix a démantelé un portail illicite qui permettait d’espionner des milliers d’individus. Contre un abonnement payant, les clients pouvaient visionner des flux vidéo privés, en filtrant spécifiquement les caméras situées dans des salons ou des chambres à coucher. Ce trafic a généré des millions de dollars.
La seconde méthode, encore plus rentable, consiste à transformer vos objets connectés en armée de « zombies ». Le pirate injecte un programme malveillant discret. Votre appareil continue de fonctionner normalement, mais en arrière-plan, il obéit aux ordres du hacker. En infectant 10 000, 100 000 ou un million d’objets, les criminels créent un botnet. Cette force de frappe massive est ensuite utilisée pour lancer des attaques DDoS (déni de service). Les appareils infectés submergent simultanément un serveur cible, rendant un site web inaccessible, ce qui permet aux attaquants d’exiger de lourdes rançons.
L’obsolescence numérique, une bombe à retardement
Face à ce danger, l’Europe a adopté le Cyber Resilience Act fin 2024. Ce règlement impose des normes de cybersécurité strictes aux objets connectés. Toutefois, l’essentiel de ces obligations ne s’appliquera qu’à partir du 11 décembre 2027. Nous traversons donc actuellement une longue période de vulnérabilité, même si, dès le 11 septembre de cette année, les fabricants ont l’obligation de signaler toute faille détectée sous 24 heures.
Le problème de fond persistera bien au-delà de 2027 à cause de la durée de vie de nos appareils. Un objet connecté peut fonctionner physiquement pendant 10 à 15 ans, mais sa durée de vie numérique est beaucoup plus courte. Quand un fabricant cesse les mises à jour de sécurité, l’appareil devient une porte d’entrée permanente pour les pirates. Des marques comme Belkin Wemo ou Bossontech ont déjà coupé les services en ligne de certains modèles. Pire encore, les négligences industrielles sont massives : le fabricant chinois Mehari, dont la technologie équipe 378 marques de caméras et de babyphones, a laissé un serveur totalement ouvert pendant trois ans, exposant des millions de flux vidéo en direct.
Nous faisons entrer dans nos foyers des équipements dont la sécurité n’est garantie que pour une fraction de leur durée d’utilisation. Tant que les cybercriminels exploiteront ces failles, la seule défense efficace consiste à modifier systématiquement les mots de passe d’usine, à appliquer scrupuleusement les mises à jour et à limiter la collecte de données superflues pour protéger notre intimité.
