Un ami m'a appelé un dimanche soir, paniqué. Sa petite fille de deux ans parlait toute seule dans sa chambre à travers le babyphone — sauf que personne n'était dans la pièce à côté. Quelqu'un d'autre avait pris le contrôle de la caméra. Pas un film. Une intrusion banale, rendue possible par un mot de passe par défaut jamais changé et une box qui exposait l'appareil directement sur Internet.
Ce genre de scène, je l'ai vue se répéter des dizaines de fois depuis que j'accompagne des particuliers et des petites structures sur la sécurité des objets connectés. La bonne nouvelle : dans l'immense majorité des cas que j'ai traités, l'intrusion n'avait rien de sophistiqué. Elle exploitait trois ou quatre négligences évitables. Et ces négligences, on peut les corriger en une soirée.
Points clés à retenir
- La plupart des intrusions IoT reposent sur des identifiants par défaut et un réseau non segmenté, pas sur des failles miracles.
- Isoler les objets connectés sur un réseau invité ou un VLAN dédié est la mesure la plus rentable en termes de temps investi.
- Désactiver l'UPnP et la redirection automatique de ports ferme une porte d'entrée massive.
- Les mises à jour de firmware corrigent des vulnérabilités documentées : elles ne sont pas optionnelles.
- Un objet qu'on n'utilise plus doit être débranché, pas laissé en veille.
Pourquoi vos objets connectés intéressent autant les intrus
Le point qu'on oublie systématiquement : un cambrioleur numérique ne cherche pas forcément votre caméra. Il cherche un point d'appui.
Une enceinte connectée, une imprimante réseau, une prise intelligente — chacun de ces appareils est un petit ordinateur avec un processeur modeste, un système d'exploitation souvent figé, et parfois aucune protection. Une fois qu'un intrus y pose un pied, il dispose d'une machine allumée 24 heures sur 24, reliée à votre réseau domestique, depuis laquelle il peut scanner le reste.
Le mythe du petit appareil inoffensif
Franchement, quand j'ai commencé à m'intéresser au sujet, je pensais qu'une ampoule connectée ne présentait aucun risque. Erreur. Une ampoule connectée compromise peut servir de relais pour atteindre le NAS familial, la box, ou tout autre appareil du même réseau. C'est précisément pour ça qu'un objet inoffensif isolé devient dangereux dès qu'il partage votre réseau principal.
Le mécanisme est simple : le fabricant a souvent livré l'appareil avec un firmware qui n'a jamais reçu de correctif, un service exposé (souvent sur un port ouvert par commodité) et un compte administrateur dont le mot de passe est admin. À partir de là, tout est question de temps.
La première mesure qui change tout : segmenter le réseau
Si vous ne devez retenir qu'une seule chose de cet article, c'est celle-ci.
Mettre tous vos appareils sur le même réseau, c'est offrir à chaque intrus qui entre par la porte la plus faible un accès direct à tout le reste. La parade consiste à les isoler sur un réseau séparé : soit le réseau invité de votre box (disponible sur presque tous les modèles récents), soit un VLAN dédié si votre matériel le permet.
Comment faire, concrètement
- Ouvrez l'interface d'administration de votre box (généralement
192.168.1.1ou192.168.0.1). - Activez le réseau invité, donnez-lui un nom distinct et un mot de passe Wi-Fi différent de votre réseau principal.
- Désactivez l'option « autoriser les invités à accéder aux appareils du réseau local » — c'est elle qui fait tout le travail d'isolation.
- Reconnectez chaque objet connecté sur ce réseau invité, un par un. Comptez une bonne heure pour un foyer équipé.
Résultat dans mon cas, sur mon propre logement : mes trois caméras, ma prise connectée et mon thermostat ont basculé sur le réseau invité en une soirée. Depuis, un appareil compromis chez moi n'aurait accès qu'à... d'autres appareils IoT compromis. Pas à mon ordinateur.
Et si ma box n'a pas de réseau invité ?
Certaines box anciennes ne proposent pas l'option. Dans ce cas, deux solutions : ajouter un routeur intermédiaire (environ 40 à 60 euros, ça suffit largement) qui crée le réseau isolé, ou — solution plus radicale — remplacer la box. Je sais, ça coûte. Mais si vous hébergez des caméras intérieures, l'investissement se justifie.
Fermer les portes ouvertes malgré vous
Il y a un réglage que je trouve personnellement scandaleux : l'UPnP, activé par défaut sur beaucoup de box. Ce protocole permet à un appareil de demander lui-même à ouvrir un port vers Internet, sans intervention de votre part. Pratique. Dangereux aussi : votre caméra a probablement demandé à être accessible depuis l'extérieur, et la box a obéi sans vous demander votre avis.
Comment vérifier et désactiver
- Dans l'interface de la box, cherchez une section « NAT », « redirection de ports » ou « UPnP ». Désactivez l'UPnP.
- Listez ensuite les redirections de ports actives. Toute ligne que vous n'avez pas créée vous-même doit sauter.
- Vérifiez depuis l'extérieur, avec un site de test de ports ouverts, qu'aucun port sensible (souvent le 80, le 443, le 554 pour les caméras) ne répond depuis Internet.
C'est cette étape qui a mis fin, chez mon ami, à l'intrusion du babyphone. Le fabricant avait activé une exposition automatique, et personne n'avait jamais regardé.
| Mesure | Effort | Gain de sécurité |
|---|---|---|
| Segmenter sur réseau invité | 1 h | Élevé |
| Désactiver UPnP + redirections | 15 min | Élevé |
| Changer les mots de passe par défaut | 30 min | Élevé |
| Mettre à jour les firmwares | variable | Moyen à élevé |
| Désactiver les fonctions inutilisées | 10 min par appareil | Moyen |
Les mots de passe : la base qu'on néglige toujours
Avouons-le, changer un mot de passe par défaut, ce n'est pas glamour. C'est pourtant là que se joue la majorité des cas que je vois passer.
Un mot de passe fort pour un objet connecté, ce n'est pas « Azerty2024! ». C'est une chaîne longue et unique, générée par un gestionnaire de mots de passe, différente pour chaque appareil. Si vous utilisez le même mot de passe pour votre caméra et votre boîte mail, une fuite sur l'un compromet l'autre.
Faut-il activer la double authentification ?
Partout où c'est possible, oui. Sur les objets connectés récents, la double authentification (code à usage unique en plus du mot de passe) est de plus en plus courante. Si un fabricant ne la propose pas en 2026, c'est un signal — pas forcément rédhibitoire, mais à noter.
Et mon téléphone, dans tout ça ?
Votre smartphone est souvent l'objet connecté le plus sensible de votre foyer : il pilote les autres, contient vos comptes, vos messages, vos photos. Les mêmes principes s'appliquent, avec quelques réflexes spécifiques.
Comment protéger mon téléphone des espions ?
Sur ce point, je vais être direct : la majorité des « espionnages » que je rencontre chez des particuliers ne viennent pas d'un logiciel furtif, mais d'un partage de compte ou d'un accès physique accordé un jour et jamais révoqué. Commencez donc par vérifier, dans les paramètres de votre compte (Google ou Apple), la liste des appareils et applications qui y sont connectés. Tout ce que vous ne reconnaissez pas doit être déconnecté immédiatement.
Ensuite : activez la double authentification, vérifiez les applications ayant accès à votre localisation en arrière-plan, et installez les mises à jour système dès qu'elles apparaissent. Une bonne partie des outils dits « espions » exploitent des vulnérabilités déjà corrigées — le retard d'installation fait le reste.
Comment sécuriser mon téléphone Samsung ?
Les appareils Samsung proposent une section dédiée dans les paramètres, souvent appelée « Sécurité et confidentialité ». Vous y trouverez un tableau de bord qui signale les paramètres à risque. Deux réglages valent le détour : désactiver l'installation d'applications depuis des sources inconnues, et activer le chiffrement du stockage si ce n'est pas déjà fait. Le reste suit les principes généraux — mot de passe d'écran solide, mises à jour, double authentification sur le compte Samsung.
Anti-piratage Android gratuit : est-ce possible ?
Oui, l'essentiel des protections efficaces ne coûte rien : verrouillage d'écran robuste, mises à jour automatiques, double authentification, gestion stricte des permissions, attention aux applications sideloadées. Les solutions payantes ajoutent surtout du confort, pas une barrière infranchissable. Méfiez-vous en revanche des applications « anti-espion » gratuites, qui demandent des permissions énormes pour un résultat douteux.
Ce qui ne marche pas (ou pas toujours)
Je préfère être honnête : j'ai testé des approches qui se sont révélées décevantes. Changer régulièrement tous les mots de passe sans gestionnaire, par exemple — j'ai fini par les oublier et les noter. Mauvaise idée. J'ai aussi cru un temps que bloquer les appareils par adresse MAC suffirait ; c'est trivial à contourner par usurpation.
Ce qui marche, en revanche, c'est la régularité : dix minutes par mois pour vérifier les mises à jour, parcourir les appareils connectés, jeter un œil aux redirections de ports. Un rituel modeste, mais tenu, vaut mieux qu'un durcissement héroïque oublié trois semaines plus tard.
Le vrai luxe, au fond, ce n'est peut-être pas d'avoir une maison parfaitement hermétique. C'est de savoir, sans se mentir, quelles portes vous avez laissées ouvertes — et pourquoi.
