Votre caméra de surveillance, votre thermostat ou votre enceinte vocale échangent des données en permanence avec des serveurs distants. Ces objets connectés, de plus en plus présents dans les foyers et les entreprises, partagent un défaut commun : leur niveau de sécurité reste souvent bien en dessous de celui d’un ordinateur ou d’un smartphone. Les failles de sécurité IoT préoccupent aujourd’hui la communauté cybersécurité au point de pousser l’Union européenne à légiférer.
Pourquoi un objet connecté est plus facile à pirater qu’un ordinateur
Un ordinateur portable reçoit des mises à jour régulières, dispose d’un antivirus, et son système d’exploitation a été durci par des décennies de correctifs. Un capteur de température connecté ou un baby-phone Wi-Fi fonctionne avec un processeur minimaliste, une mémoire réduite et un logiciel souvent figé après la vente.
Cette différence de puissance a une conséquence directe : beaucoup d’appareils IoT ne peuvent pas exécuter de logiciel de protection. Leur système embarqué est trop limité pour intégrer un chiffrement robuste ou un mécanisme d’authentification avancé.
Avez-vous déjà changé le mot de passe par défaut de votre routeur ou de votre caméra IP ? La majorité des utilisateurs ne le font pas. Les identifiants d’usine (souvent « admin / admin ») restent en place pendant toute la durée de vie de l’appareil. Un attaquant n’a même pas besoin de technique sophistiquée : il teste les identifiants par défaut, et il entre.
Le botnet Mirai, mentionné régulièrement par les spécialistes, a exploité exactement ce mécanisme. Il scannait Internet à la recherche d’appareils IoT utilisant des identifiants standards, les infectait, puis les utilisait pour lancer des attaques massives contre des sites web. Des caméras de surveillance et des enregistreurs vidéo numériques sont devenus, à l’insu de leurs propriétaires, des armes dans un réseau de machines zombies.
Clés de chiffrement et mises à jour : les angles morts techniques de l’IoT
Au-delà des mots de passe, deux failles structurelles reviennent dans la plupart des analyses de sécurité des objets connectés.
Des clés de chiffrement partagées entre des milliers d’appareils
Pour sécuriser les échanges de données, un appareil connecté utilise des clés de chiffrement. En principe, chaque appareil devrait disposer d’une clé unique. En pratique, des fabricants réutilisent la même clé sur des gammes entières de produits. Si un attaquant extrait cette clé d’un seul appareil, il peut déchiffrer les communications de tous les autres appareils du même modèle.
Ce raccourci industriel s’explique par des contraintes de coût. Générer et gérer des clés individuelles demande une infrastructure que les fabricants d’objets à bas prix ne mettent pas en place.
Des mécanismes de mise à jour absents ou non sécurisés
Un objet connecté dont le logiciel n’est jamais mis à jour accumule les vulnérabilités connues. Quand un correctif existe, encore faut-il que l’appareil puisse le recevoir. Certains appareils ne disposent d’aucun canal de mise à jour automatique. D’autres téléchargent leurs mises à jour sans vérifier l’authenticité du fichier reçu, ce qui permet à un attaquant d’injecter un logiciel malveillant à la place du correctif légitime.
Un appareil connecté sans mise à jour fiable devient plus vulnérable chaque jour qui passe. Les failles découvertes après sa commercialisation ne seront jamais corrigées.
Cyber Resilience Act : la sécurité IoT devient une obligation légale en Europe
Face à ces lacunes récurrentes, l’Union européenne a changé d’approche. Le Cyber Resilience Act (Règlement (UE) 2024/2847), adopté le 23 octobre 2024 et entré en vigueur le 10 décembre 2024, transforme la cybersécurité des produits numériques, y compris les objets connectés, en condition d’accès au marché européen.
Concrètement, à partir du 11 décembre 2027, tout produit comportant des éléments numériques devra respecter des exigences de security by design pour être commercialisé dans l’UE. Le marquage CE intégrera un volet cybersécurité. Les fabricants devront garantir des mises à jour de sécurité sur toute la durée de vie du produit et gérer activement les vulnérabilités découvertes après la vente.
Ce règlement introduit aussi une obligation nouvelle : les fabricants devront déclarer les failles activement exploitées. Jusqu’ici, un fabricant pouvait découvrir qu’une vulnérabilité était utilisée par des attaquants sans être tenu d’en informer quiconque. À partir de septembre 2026, cette déclaration deviendra obligatoire auprès des autorités compétentes. Le rapport de force entre fabricants et utilisateurs change.
Les sanctions prévues peuvent atteindre plusieurs millions d’euros ou un pourcentage du chiffre d’affaires mondial, ce qui place la cybersécurité IoT au même niveau d’exigence que d’autres réglementations européennes majeures.
Réseau d’entreprise et objets connectés : une surface d’attaque sous-estimée
En entreprise, les objets connectés ne se limitent pas aux gadgets. Capteurs industriels, systèmes de climatisation intelligents, imprimantes réseau, badges d’accès connectés : ces appareils sont souvent rattachés au même réseau que les postes de travail et les serveurs.
Quand un attaquant compromet un capteur IoT mal protégé, il obtient un point d’entrée sur le réseau interne. De là, il peut tenter de se déplacer latéralement vers des systèmes plus sensibles. C’est ce que les spécialistes appellent le « shadow IT » appliqué aux objets connectés : des appareils présents sur le réseau sans que l’équipe informatique en ait une visibilité complète.
Quelques mesures réduisent significativement ce risque :
- Segmenter le réseau en isolant les objets connectés sur un sous-réseau dédié, séparé des ressources critiques de l’entreprise
- Maintenir un inventaire à jour de tous les appareils IoT présents sur le réseau, y compris ceux installés par des collaborateurs sans validation préalable
- Appliquer le principe du moindre privilège : chaque objet ne communique qu’avec les services strictement nécessaires à son fonctionnement
- Désactiver les fonctionnalités inutilisées (accès distant, protocoles non nécessaires) pour réduire la surface d’attaque
Un seul appareil IoT non inventorié suffit à contourner des protections réseau par ailleurs solides.
Ce que le Cyber Resilience Act ne résoudra pas seul
Le cadre réglementaire européen constitue une avancée, mais il ne couvre que les produits neufs commercialisés après son entrée en application. Les millions d’objets connectés déjà installés dans les foyers et les entreprises, souvent sans aucune capacité de mise à jour, resteront en circulation pendant des années.
La responsabilité se partage entre fabricants, intégrateurs et utilisateurs. Côté utilisateur, les réflexes de base restent les mêmes : changer les identifiants par défaut, désactiver les appareils quand ils ne servent pas, vérifier les paramètres de confidentialité. Côté fabricant, le Cyber Resilience Act fixe enfin un plancher d’exigences. Le défi sera de vérifier que ces règles sont effectivement appliquées sur des gammes de produits fabriquées à très grande échelle, souvent hors d’Europe.
La sécurité des objets connectés n’est plus un sujet de niche réservé aux experts en cybersécurité. Elle concerne chaque appareil branché sur votre réseau domestique ou professionnel, et la fenêtre pour agir avant l’échéance réglementaire de décembre 2027 se réduit chaque mois.
