Un collègue m'a appelé un dimanche soir, paniqué. Sa fille de six ans avait reçu, via l'enceinte connectée du salon, une voix d'homme inconnue qui lui demandait son prénom. Sa femme avait débranché l'appareil sur-le-champ. Le lendemain, il m'expliquait qu'il avait acheté cette enceinte trois ans plus tôt, branchée, configurée en cinq minutes, jamais retouchée depuis. Mot de passe par défaut. Firmware jamais mis à jour. Compte lié à une adresse mail qu'il n'utilisait plus.
Pour sécuriser sa maison intelligente, il ne suffit pas d'installer une alarme. Il faut considérer chaque objet connecté comme un petit ordinateur exposé à internet, et le traiter comme tel. La bonne nouvelle : les gestes utiles tiennent en une soirée. La mauvaise : sans ces gestes, votre thermostat peut servir de porte d'entrée à quelqu'un qui n'a jamais mis les pieds chez vous.
Points clés à retenir
- Changer chaque mot de passe par défaut est le geste le plus rentable, et le premier à faire.
- Isoler les objets connectés sur un réseau Wi-Fi dédié réduit la casse en cas de compromission.
- Désactiver l'UPnP sur la box ferme des portes que vous n'avez jamais ouvertes consciemment.
- Le firmware est souvent le maillon oublié : un objet non mis à jour reste vulnérable à vie.
- Le cloud du fabricant fait partie de votre surface d'attaque, pas seulement l'appareil dans le salon.
- Un objet qui n'est plus supporté par son fabricant doit être débranché ou remplacé, pas laissé en veille.
Pourquoi votre maison connectée est plus exposée que vous ne le pensez
Une maison connectée type, aujourd'hui, c'est entre 10 et 25 appareils actifs. Caméra de surveillance, thermostat, prise intelligente, ampoules, enceinte, robot aspirateur, télévision, parfois une serrure. Chacun embarque un micro-ordinateur, un système d'exploitation souvent dérivé de Linux, et une connexion réseau permanente.
Le problème n'est pas l'appareil en lui-même. C'est ce qu'il expose.
Le vrai risque n'est pas toujours le piratage direct
Quand on parle de faille dans une maison connectée, on imagine un cambrioleur qui déverrouille votre porte depuis un café. C'est rare. Ce qui arrive beaucoup plus souvent :
- Un objet compromis rejoint un botnet et participe à des attaques massives sans que vous vous en rendiez compte.
- Le réseau domestique entier devient une passerelle : le pirate entre par la caméra, ressort par le PC familial où sont stockés les documents administratifs.
- Des données personnelles (habitudes, présence, conversations captées) remontent vers des serveurs tiers mal protégés.
Sur les vingt dernières années, la fuite de données la plus embarrassante que j'aie vue chez un proche ne venait pas de son ordinateur, mais d'une caméra IP d'entrée de gamme dont l'interface d'administration était accessible depuis l'extérieur avec le mot de passe « admin ». Il l'avait achetée sur une place de marché, sans marque identifiable. Trois ans après, le fabricant avait disparu, et aucun correctif n'existerait jamais. Le problème ? L'appareil fonctionnait encore.
La faille humaine reste la plus fréquente
Franchement, la majorité des incidents que je croise ne viennent pas d'une exploitation de faille zero-day. Ils viennent de configurations laissées par défaut. Un mot de passe partagé entre tous les objets. Une application mobile utilisée avec le même compte que la messagerie principale. Un invité qui se connecte au Wi-Fi principal et dont le téléphone, infecté, balaie le réseau local.
Aucun de ces cas ne demande un attaquant très doué.
La checklist concrète pour sécuriser sa maison intelligente
Voici ce que j'applique systématiquement, dans cet ordre, quand on me demande de reprendre une installation. Comptez une soirée pour une maison standard. Le désagrément vaut largement le risque évité.
Étape 1 : changer les mots de passe par défaut
Le mot de passe « admin / admin » ou « 123456 » sur une caméra reste l'une des portes d'entrée les plus exploitées au monde. Avant tout autre réglage, ouvrez l'interface web de chaque objet (pas seulement l'application), et remplacez le mot de passe d'administration par un mot de passe unique de 16 caractères minimum. Utilisez un gestionnaire de mots de passe : je n'en ai jamais vu un seul qui tienne la charge mentale de retenir 15 identifiants différents.
Étape 2 : isoler les objets sur un réseau Wi-Fi dédié
Presque toutes les box récentes et la plupart des routeurs mesh permettent de créer un réseau invité ou un SSID secondaire. Mettez-y tous vos objets connectés. Ils continuent d'accéder à internet et à leurs applications, mais ne voient plus votre ordinateur, votre NAS, ni les autres appareils sensibles.
Le surcoût ? Zero. Le gain ? Si une caméra est compromise demain matin, elle est seule sur son îlot.
Étape 3 : désactiver l'UPnP et les accès distants inutiles
L'UPnP permet aux appareils d'ouvrir automatiquement des ports sur votre box, sans intervention de votre part. Pratique pour certains jeux, catastrophique pour la domotique. Un objet qui s'ouvre un port vers l'extérieur est joignable depuis internet. Coupez l'UPnP dans les réglages de la box. Ensuite, passez en revue les règles de redirection de ports : s'il y en a que vous n'avez pas créées volontairement, supprimez-les.
Étape 4 : mettre à jour les firmwares régulièrement
Fabricant qui ne publie plus de correctifs depuis 18 mois : considérez l'objet comme condamné. Un appareil non patché reste vulnérable aux failles découvertes après sa dernière mise à jour. Sur un objet qui contrôle une serrure ou une caméra, c'est intenable sur le long terme.
Ma règle personnelle : si un objet n'a reçu aucune mise à jour pendant deux ans, je le débranche. Je préfère perdre une fonctionnalité que garder une porte ouverte.
Étape 5 : sécuriser les comptes cloud associés
La maison connectée est aussi un service en ligne. Le compte qui pilote votre écosystème doit être protégé comme votre compte bancaire :
- Mot de passe long, unique, stocké dans un gestionnaire.
- Authentification à deux facteurs activée partout où elle est proposée (application d'authentification, pas SMS).
- Adresse mail dédiée, distincte de votre messagerie principale.
- Révoquer les accès des anciens téléphones ou des invités qui n'ont plus rien à y faire.
Comparaison des solutions techniques pour isoler ses objets
Trois approches reviennent selon le niveau de maîtrise et le matériel dont on dispose.
| Solution | Effort de mise en place | Protection apportée | Limite principale |
|---|---|---|---|
| Réseau invité de la box | Faible (10 min) | Sépare les objets du réseau principal | Paramétrable mais rigide, certains objets refusent les SSID secondaires |
| VLAN dédié | Élevé (routeur compatible requis) | Cloisonnement fin, règles par appareil | Demande un vrai routeur, pas la box opérateur |
| Écosystème fermé propriétaire | Aucun | Intégration et mises à jour centralisées | Vous dépendez entièrement du fabricant, et vous ne pouvez rien auditer |
Sur un foyer standard, le réseau invité fait 80 % du travail. Le VLAN, je le réserve aux installations qui embarquent des caméras ou des serrures connectées, où l'enjeu dépasse le confort.
Les questions qu'on me pose le plus souvent
Les objets connectés sont-ils vraiment une porte d'entrée pour les pirates ?
Oui, dès lors qu'ils sont exposés à internet et mal configurés. Caméras IP, thermostats, serrures, assistants vocaux : la multiplication des appareils crée autant de points d'entrée potentiels. La faille n'est pas dans la technologie en soi, elle est dans l'écart entre la promesse de simplicité et la réalité technique de ces objets.
Faut-il acheter uniquement des marques connues ?
C'est un facteur important, mais pas une garantie. Ce que vous achetez surtout, c'est une politique de mises à jour. Une marque inconnue qui publie des correctifs tous les six mois est plus sûre qu'une marque connue qui abandonne ses produits au bout d'un an. Vérifiez avant d'acheter : y a-t-il un historique de correctifs, un support réactif, des engagements publics de durée ?
Que faire d'un objet qui ne reçoit plus de mises à jour ?
Trois options, par ordre de préférence : le remplacer par un modèle suivi, le cloisonner sur un réseau strictement isolé sans accès au reste du foyer, ou le débrancher. La pire décision est celle que l'on prend par défaut : le laisser branché en espérant que personne ne s'y intéresse.
Une erreur que je vois trop souvent
Beaucoup de foyers investissent dans une alarme professionnelle à 500 ou 800 euros, puis laissent les objets connectés autour en configuration d'usine. L'alarme protège la porte d'entrée physique et ne dit rien de la porte numérique, qui est ouverte en permanence. Les deux niveaux de sécurité n'ont pas la même nature, et l'un ne remplace jamais l'autre. Ma conviction, après des années à nettoyer les mauvaises surprises : la sécurité réseau domestique est un prérequis, pas un supplément.
Et cette porte numérique, personne ne viendra vous dire qu'elle était ouverte. Elle se referme en silence une fois que vous avez pris les bons réflexes. En attendant, la question qui reste n'est pas « est-ce que je suis exposé ? » — vous l'êtes probablement. C'est : « de combien d'appareils quelqu'un d'autre connaît-il le mot de passe en ce moment ? »
