Un voisin m'a appelé un dimanche soir, paniqué. Sa caméra de salon venait de pivoter toute seule pendant qu'il regardait la télé. Il voyait le moteur bouger dans l'appli, sans rien toucher. Deux minutes plus tôt, quelqu'un avait tenté de se connecter à son compte depuis une adresse qu'il ne connaissait pas. Il n'avait jamais changé le mot de passe par défaut. admin / admin, celui qui était écrit dans la petite notice livrée avec l'appareil.
C'est là que tout se joue, en réalité. Sécuriser sa maison connectée contre les intrusions ne commence pas par acheter une alarme dernier cri. Ça commence par fermer la porte que le fabricant a laissée entrouverte.
Je vais être direct : la plupart des foyers que j'ai aidés à mettre à niveau avaient le même profil. Un routeur installé par le technicien de l'opérateur, jamais reconfiguré depuis. Cinq à quinze objets connectés dessus. Et des identifiants par défaut partout. Le cambrioleur numérique n'a pas besoin de forcer quoi que ce soit quand la clé est sous le paillasson.
Points clés à retenir
- Changez le mot de passe par défaut de chaque appareil avant même de le configurer.
- Créez un réseau Wi-Fi invité dédié aux objets connectés, séparé de vos ordinateurs et téléphones.
- Activez le chiffrement WPA3 sur votre box si elle le propose, sinon WPA2-AES comme minimum.
- Gardez le firmware à jour : les correctifs de sécurité arrivent souvent des mois après la faille.
- Un réseau séparé limite les dégâts : si une caméra est compromise, elle ne donne pas accès à tout.
- Le vrai risque n'est pas la serrure, c'est le compte cloud qui la contrôle.
Pourquoi votre maison connectée est une cible facile
Une box internet standard ouvre par défaut quelques ports vers l'extérieur. C'est normal, c'est voulu. Le problème, c'est ce qu'il y a derrière ces ports.
La grande majorité des objets connectés grand public tournent sur des systèmes Linux embarqués, souvent anciens, rarement mis à jour après les deux premières années de commercialisation. Le constructeur a vendu son stock, il passe au modèle suivant. Votre appareil, lui, continue de tourner avec les mêmes failles, pendant que de nouveaux outils automatisés scannent le web à la recherche exacte de ce type de matériel.
Je ne vous sors pas de chiffre tiré d'une étude. Je vous décris ce que je vois : les forums techniques regorgent de listes d'appareils dont le mot de passe root est identique sur toute une série de production. Une fois qu'un attaquant connaît le modèle, il connaît la clé.
Intrusion physique et intrusion numérique : deux mondes qu'on confond
On parle souvent de cambriolage quand on parle de maison connectée. C'est une erreur de cadrage. Le cambrioleur qui entre par la fenêtre et le pirate qui prend le contrôle de votre caméra n'ont ni les mêmes motivations ni les mêmes méthodes. Le premier veut vos bijoux. Le second peut vouloir vous observer, vous faire chanter, ou simplement utiliser votre connexion comme rebond pour attaquer quelqu'un d'autre.
Une alarme connectée protège correctement contre le premier. Elle ne fait strictement rien contre le second. Ne mélangez pas les deux, sinon vous investirez dans le mauvais matériel.
Le mythe de la marque rassurante
Payer plus cher ne vous protège pas automatiquement. J'ai vu des caméras à 30 € et des modèles à 250 € avec exactement le même défaut : une interface d'administration accessible depuis internet, protégée par un mot de passe faible. Le prix achète la qualité d'image, parfois la durée du support. Il n'achète pas la sécurité par défaut.
Les premières mesures concrètes à appliquer ce soir
Avant d'aller plus loin dans l'équipement, rangez la maison numérique. Voici ce que je fais systématiquement quand on me demande de reprendre une installation.
Étape 1 : reprendre la main sur le routeur
Connectez-vous à l'interface d'administration de votre box. L'adresse est généralement imprimée sous l'appareil, souvent quelque chose comme 192.168.1.1. Le mot de passe d'administration, lui, n'est pas celui du Wi-Fi.
- Changez le mot de passe administrateur s'il est encore celui d'usine.
- Désactivez l'accès à l'interface depuis l'extérieur (WAN), sauf si vous savez précisément pourquoi vous en avez besoin.
- Activez le chiffrement le plus récent proposé. WPA3 si disponible, WPA2-AES sinon. Évitez le WEP, encore présent sur du matériel ancien, qui se casse en quelques minutes.
- Désactivez le WPS. Cette fonction de connexion simplifiée par bouton ou code PIN est une porte d'entrée connue.
J'ai fait cette manipulation chez un proche le mois dernier. Sa box était en WPA2 mixte, avec un mot de passe Wi-Fi de huit caractères uniquement des lettres. On a corrigé ça en vingt minutes.
Étape 2 : un réseau invité pour les objets, pas pour les invités
C'est la mesure la plus rentable, et presque personne ne la fait. La plupart des box récentes proposent un réseau Wi-Fi invité isolé du réseau principal. Utilisez-le pour vos caméras, thermostats, prises connectées, enceintes.
Pourquoi ? Parce qu'un appareil compromis sur ce réseau séparé ne peut pas atteindre votre ordinateur, votre NAS, ni vos comptes bancaires ouverts sur le téléphone. Il voit le routeur, il voit Internet, il ne voit rien d'autre.
Sur l'installation d'un ami, on a basculé neuf appareils sur le réseau invité en une soirée. Résultat immédiat : sa caméra d'entrée, qui communiquait en clair avec un serveur distant, ne pouvait plus envoyer de données vers le reste du foyer.
Étape 3 : les comptes et les mots de passe
Chaque appareil connecté est piloté par une application, donc par un compte. Ces comptes sont souvent la vraie cible, parce qu'ils donnent accès à distance, depuis n'importe où dans le monde.
- Un mot de passe unique par appareil ou par fabricant. Jamais le même que votre messagerie.
- Un gestionnaire de mots de passe, même gratuit. Cela évite les variantes paresseuses du type "MonMotDePasse2024!".
- La double authentification quand elle existe. C'est contraignant, mais c'est ce qui a sauvé l'accès de ce voisin dont je vous parlais en introduction.
- Révoquez les anciens accès partagés. J'ai trouvé sur une installation familiale un compte invité créé pour un ancien colocataire, encore actif deux ans après son départ.
Tableau comparatif : niveau de risque par appareil
Tous les objets ne se valent pas. Voici comment je les classe, du plus exposé au moins exposé, sur la base des installations que j'ai inspectées.
| Type d'appareil | Exposition | Pourquoi | Priorité de sécurisation |
|---|---|---|---|
| Caméra IP | Très élevée | Flux vidéo accessible, mises à jour rares, accès cloud | Immédiate |
| Serrure connectée | Élevée | Enjeu physique direct si le compte est compromis | Immédiate |
| Assistant vocal | Moyenne | Micro toujours actif, mais écosystème mieux suivi | Rapide |
| Thermostat | Moyenne | Donne des indications de présence | Rapide |
| Ampoule ou prise | Faible | Impact limité, mais sert de porte d'entrée | Normale |
La caméra arrive en tête dans presque tous les cas. C'est aussi l'appareil que les gens installent en premier et configurent le plus vite. Mauvais mariage.
Les erreurs que je vois le plus souvent
J'ai aidé à reprendre une quinzaine d'installations ces dernières années. Les mêmes problèmes reviennent, avec une régularité déprimante.
L'erreur du mot de passe unique partout
Une seule chaîne de caractères pour le Wi-Fi, la caméra, le compte du fabricant et la messagerie. Si un seul de ces services fuit, tout tombe en cascade. C'est le scénario le plus fréquent, et le plus destructeur.
Le firmware qu'on oublie
Les applications de fabricant poussent rarement les mises à jour automatiquement. Il faut souvent aller dans les réglages, chercher la version, vérifier. Fastidieux. Mais un correctif publié tard peut fermer une faille ouverte depuis des mois.
Le Wi-Fi ouvert à tout
Un mot de passe de huit lettres simples se casse en quelques heures avec un peu de matériel. Visez au minimum douze caractères, avec un mélange. Je sais, c'est pénible à taper. C'est moins pénible que de découvrir que quelqu'un consultait vos enregistrements.
L'oubli des objets vendus ou jetés
Vous revendez une caméra sur une plateforme d'occasion ? Vérifiez que votre compte a bien été dissocié de l'appareil, sinon le nouvel acheteur hérite potentiellement d'un accès à votre historique. Faites un effacement d'usine, pas seulement une suppression dans l'application.
Ce qui reste vraiment à risque
Vous pouvez appliquer tout ce qui précède ce soir. Il restera toujours une faille possible, parce qu'un objet connecté est un petit ordinateur que vous ne contrôlez pas entièrement. Le fabricant peut pousser une mise à jour défectueuse. Un serveur distant peut être compromis. Le modèle économique impose parfois une connexion permanente à un cloud dont vous ne connaissez ni la politique ni la localisation des données.
La vraie question n'est peut-être pas "comment tout sécuriser". Elle est plutôt : que suis-je prêt à connecter, en sachant que chaque objet ajoute une porte ? Une prise intelligente qui allume la lampe du salon, franchement, le jeu en vaut rarement la chandelle. Une serrure qui contrôle qui entre chez vous, c'est une autre conversation.
Le voisin dont je vous parlais a fini par résoudre son problème. Pas en changeant de caméra. En changeant trois mots de passe et en activant un réseau séparé. Le pivot de 22 heures ne s'est jamais reproduit.