Objets connectés : 244 millions d'appareils en France, l'Europe appelle à la vigilance

L'agence de cybersécurité européenne a réagi en appelant à la vigilance sur l'ensemble des objets connectés présents au domicile des particuliers. Box internet, aspirateurs robots, systèmes de vidéosurveillance : ces appareils peuvent devenir un risque pour la vie privée ou servir de relais à des attaques massives visant des tiers.

Une cyberattaque de frigos attribuée à l'Iran

L'incident concerne des réfrigérateurs connectés utilisés dans des chaînes de supermarchés. Ce type d'appareil, rarement considéré comme sensible, illustre la facilité avec laquelle un équipement du quotidien peut être détourné pour pénétrer un réseau professionnel.

L'agence de cybersécurité européenne a profité de cet épisode pour élargir son message au grand public. Elle insiste sur le fait que les objets connectés domestiques, enceintes, caméras, thermostats, partagent les mêmes failles que les équipements professionnels visés par les attaquants.

Des objets connectés mal sécurisés dans les foyers français

La plateforme gouvernementale Cybermalveillance.gouv.fr rappelle que ces appareils présentent des vulnérabilités régulièrement exploitées par des pirates informatiques, selon des propos relayés par TF1 Info.

« Ils peuvent entraîner certains risques comme leur piratage ou le vol des informations personnelles qu'ils contiennent, d'autant plus qu'ils sont souvent insuffisamment sécurisés », Cybermalveillance.gouv.fr, plateforme gouvernementale de sécurité numérique.

Le site recommande de vérifier la fiabilité d'un objet connecté avant l'achat, de changer le mot de passe par défaut dès la première utilisation, puis de surveiller les mises à jour disponibles. Il conseille aussi d'éteindre les appareils connectés qui ne sont pas utilisés et de limiter les données personnelles partagées, en évitant par exemple d'indiquer son nom réel dans les paramètres.

Un parc de 244 millions d'appareils en France

Le nombre d'objets connectés recensés en France atteignait 244 millions en 2022, selon l'Arcep. Le marché mondial de ces produits grand public pourrait atteindre 400 milliards d'euros en 2030, toujours selon le régulateur des télécoms.

Le baromètre du numérique, cité par la DGCCRF, établit que 40 % des Français de plus de 12 ans possèdent un objet connecté, un taux qui dépasse 50 % chez les moins de 39 ans. En 2024, 36 % des internautes déclarent utiliser des appareils connectés pour leur maison et 22 % en portent au quotidien, selon l'Insee.

Une étude Insee de 2022 montre que trois personnes sur dix ont déjà utilisé un appareil domotique, assistant virtuel, électroménager connecté ou système d'alarme. Parmi les utilisateurs, 15 % signalent des difficultés d'usage et 5 % des problèmes de sécurité ou de confidentialité.

Les entreprises aussi concernées

Les entreprises ne sont pas épargnées par ces failles. Selon l'Insee, 93 % des entreprises employant au moins dix salariés appliquaient en 2024 au moins une mesure de sécurité numérique, un taux qui grimpe à 99 % au-delà de 250 salariés mais retombe à 80 % pour les structures de 10 à 19 salariés.

Ce que ça change pour votre entreprise

Pour une TPE ou une PME, chaque objet connecté branché au réseau, caméra, visiophone ou standard téléphonique, devient une porte d'entrée potentielle s'il reste mal sécurisé. Ces équipements partagent souvent les mêmes failles que celles décrites pour les objets connectés grand public : mot de passe par défaut jamais changé, firmware qui ne reçoit plus de mises à jour une fois installé, ou interface d'administration accessible depuis l'extérieur sans protection suffisante. Un standard téléphonique IP ou un visiophone connecté à la même box que le reste du réseau peut ainsi servir de point d'entrée pour atteindre d'autres équipements de l'entreprise, à l'image de ce qui s'est produit avec les réfrigérateurs connectés détournés pour pénétrer un réseau professionnel.

Face à ce risque, le choix de la solution de téléphonie compte. Un service comme allo360, qui repose sur une infrastructure gérée à distance plutôt que sur un boîtier physique installé dans les locaux, déplace une partie de la responsabilité de sécurisation vers l'éditeur du service, charge à lui de maintenir ses propres systèmes à jour. Cela ne supprime pas tout risque, un service cloud reste exposé à ses propres vulnérabilités, mais cela évite au moins l'angle mort du boîtier physique oublié, jamais mis à jour, auquel personne ne pense une fois l'installation terminée.