Une ampoule qui s’allume à la voix, un thermostat qui devine vos habitudes, une caméra qui vous prévient quand le chat renverse la plante : les objets connectés se sont installés dans nos maisons sans tambour ni trompette. On les appelle collectivement l’Internet des objets, ou IoT pour « Internet of Things ». Le confort est réel, immédiat, presque addictif. Mais chaque nouvel appareil branché sur votre réseau est aussi une petite porte de plus dans le mur de votre maison numérique. Et toutes ces portes n’ont pas de serrure.
De quoi parle-t-on exactement ?
Un objet connecté, c’est un appareil du quotidien auquel on a ajouté trois choses : un capteur (température, mouvement, son), une puce capable de calculer un minimum, et une connexion réseau. Rien de magique. Votre aspirateur robot est un petit ordinateur sur roues ; votre sonnette vidéo est une caméra avec un microphone et un accès permanent à Internet.
Le marché est immense. On compte aujourd’hui plusieurs milliards d’appareils connectés dans le monde, du bracelet d’activité au capteur industriel installé dans une usine. Cette diversité est justement le cœur du problème : un fabricant d’ampoules n’a pas la même culture de la sécurité informatique qu’un éditeur de systèmes d’exploitation. Il vend un objet à quinze euros et n’a aucun intérêt économique à maintenir son logiciel pendant dix ans.
Pourquoi ces objets sont des cibles idéales
Les attaquants ne s’intéressent pas à votre ampoule pour changer la couleur de votre salon. Ils s’y intéressent parce qu’elle est allumée 24 heures sur 24, qu’elle ne fait l’objet d’aucune surveillance, et qu’elle est souvent protégée par un mot de passe d’usine du type « admin / admin ».
L’exemple canonique reste le logiciel malveillant Mirai. En 2016, il a infecté des centaines de milliers de caméras et d’enregistreurs vidéo simplement en essayant une liste de mots de passe par défaut. Une fois recrutés, ces appareils ont formé un immense botnet utilisé pour saturer des services entiers d’Internet lors d’une attaque par déni de service distribué. Une partie du web américain est devenue inaccessible ce jour-là — à cause de caméras de surveillance bon marché.
Depuis, le schéma s’est reproduit avec des variantes. Le code source de Mirai ayant été publié, il sert de base à toute une famille de logiciels malveillants.
Les faiblesses qui reviennent toujours
Les audits de sécurité, dont ceux publiés par la fondation OWASP, mettent en évidence des défauts d’une monotonie décourageante :
- Mots de passe par défaut identiques sur des millions d’unités, souvent impossibles à modifier.
- Absence de mises à jour : pas de mécanisme automatique, ou un fabricant qui a cessé d’exister.
- Communications en clair : des données envoyées sans chiffrement, lisibles par quiconque écoute le réseau.
- Services réseau inutiles laissés ouverts, hérités de la phase de développement.
- Applications compagnons trop gourmandes en autorisations, qui aspirent contacts et position.
- Dépendance au cloud : si le serveur du fabricant ferme, l’objet devient un presse-papier.
Ce dernier point mérite d’être souligné : plusieurs marques ont déjà débranché leurs serveurs, transformant des thermostats et des enceintes payés cher en objets muets. Acheter connecté, c’est louer une fonctionnalité autant qu’acheter un produit.
Le vrai risque : la vie privée
Au-delà du piratage spectaculaire, il y a le risque tranquille et légal : la collecte de données. Un compteur d’électricité intelligent sait quand vous êtes chez vous. Un téléviseur connecté peut analyser ce que vous regardez. Un assistant vocal envoie des extraits audio vers des serveurs distants pour être compris.
En Europe, ces pratiques sont encadrées par le Règlement général sur la protection des données, et la CNIL publie régulièrement des recommandations sur les objets du quotidien. Le cadre existe donc, mais il repose largement sur des consentements que personne ne lit. Le législateur avance également côté sécurité : le règlement européen sur la cyberrésilience imposera progressivement aux fabricants des obligations de mise à jour sur la durée de vie annoncée du produit.
Se protéger sans renoncer au confort
La bonne nouvelle : quelques gestes simples réduisent l’essentiel du risque domestique.
- Changez systématiquement le mot de passe par défaut à la première installation. C’est la mesure la plus rentable de toutes.
- Isolez vos objets sur un réseau séparé. La plupart des box permettent de créer un réseau Wi-Fi « invité » : mettez-y les ampoules et caméras, gardez votre ordinateur sur le réseau principal. Si un objet est compromis, il ne verra pas vos fichiers.
- Mettez à jour : activez les mises à jour automatiques quand elles existent, et vérifiez une fois par an les appareils sensibles.
- Désactivez ce qui ne sert pas : accès distant, UPnP sur le routeur, microphone d’un appareil qui n’en a pas besoin.
- Activez la double authentification sur le compte associé à vos caméras.
- Préférez le local au cloud quand c’est possible.
La piste du local : reprendre la main
Une communauté grandissante d’utilisateurs choisit de faire fonctionner sa domotique sans dépendre d’un serveur lointain. Le projet libre Home Assistant centralise des centaines de marques sur une machine installée à la maison — un simple mini-ordinateur suffit. Côté firmware, des projets comme Tasmota permettent de remplacer le logiciel d’origine de certaines prises et ampoules pour couper tout dialogue avec le fabricant.
Le standard Matter, poussé par les grands acteurs du secteur, va dans le même sens : une interopérabilité accrue et un fonctionnement possible en local, sans passer par Internet pour allumer une lampe.
Conclusion
L’objet connecté n’est ni un gadget inutile ni un cheval de Troie systématique. C’est un ordinateur, avec les mêmes exigences qu’un ordinateur : un mot de passe correct, des mises à jour, et une place réfléchie sur le réseau. Le confort a un prix, mais ce prix n’est pas forcément élevé — il se paie surtout en attention. Avant chaque achat, une question suffit souvent à trancher : cet objet a-t-il vraiment besoin d’Internet pour faire son travail ? Si la réponse est non, la version non connectée reste la plus sûre du marché.