Le parc d’objets connectés dans les foyers français ne cesse de croître : thermostats, caméras de surveillance, assistants vocaux, serrures pilotables à distance. Cette prolifération s’accompagne d’une surface d’attaque élargie pour les cybercriminels, qui ciblent désormais des appareils souvent livrés avec des protections minimales. Le cadre réglementaire européen tente de rattraper cette réalité avec le Cyber Resilience Act, entré en vigueur en décembre 2024.
Cyber Resilience Act : ce que le marquage CE va exiger des objets connectés
Les concurrents traitent la sécurité IoT comme un problème de comportement utilisateur. La dimension réglementaire reste largement absente de leurs analyses. Le Cyber Resilience Act (règlement UE 2024/2847) change pourtant la donne en profondeur.
Ce texte impose aux fabricants une sécurité dès la conception et tout au long du cycle de vie du produit. Concrètement, un thermostat connecté ou une caméra de surveillance vendu en Europe devra démontrer sa conformité à des exigences de cybersécurité pour obtenir le marquage CE. À partir du 11 décembre 2027, tout appareil non conforme sera retiré du marché.
L’obligation couvre la gestion des vulnérabilités, les mises à jour logicielles et la documentation technique. En France, l’ANSSI travaille déjà sur les modalités de certification nationales pour ces appareils.
Un autre volet du règlement entre en application dès septembre 2026 : les fabricants devront notifier rapidement toute vulnérabilité activement exploitée ainsi que tout incident de sécurité grave. Pour les utilisateurs, cela signifie qu’un fabricant ne pourra plus garder le silence pendant des mois sur une faille connue dans votre enceinte connectée ou votre routeur domestique.
Les données disponibles ne permettent pas encore de mesurer l’impact réel de ce règlement sur la qualité des appareils en vente. L’application progressive laisse une fenêtre de transition pendant laquelle des produits non conformes circulent encore.
Vulnérabilités IoT domestiques : des failles structurelles, pas accidentelles
La plupart des objets connectés grand public partagent des défauts de conception récurrents. Ce ne sont pas des bugs isolés, mais des choix industriels dictés par la réduction des coûts.
- Les mots de passe par défaut restent codés en dur dans de nombreux appareils, parfois identiques sur des millions d’unités vendues. Un attaquant n’a besoin que d’une liste publique pour accéder à un réseau domestique entier.
- Les mécanismes de mise à jour sont souvent absents ou non sécurisés. Certains fabricants cessent de publier des correctifs quelques mois après la commercialisation, laissant les appareils exposés indéfiniment.
- Les interfaces de communication (API, applications mobiles associées) présentent régulièrement des failles d’authentification qui permettent d’intercepter les données échangées entre l’appareil et le cloud du fabricant.
- Le chiffrement des données en transit reste optionnel sur une part significative des appareils d’entrée de gamme, notamment les capteurs domotiques et les ampoules connectées.
Ces vulnérabilités ne relèvent pas de la maladresse : elles résultent d’un modèle économique où le coût de la sécurité est perçu comme un frein à la compétitivité tarifaire. Le Cyber Resilience Act vise précisément à inverser cette logique en rendant la non-conformité plus coûteuse que l’investissement en sécurité.
Attaques automatisées sur les réseaux domestiques : un phénomène massif et silencieux
Les cyberattaques ciblant les objets connectés à la maison ne sont pas le fait de pirates opérant manuellement. La grande majorité des intrusions sont automatisées par des botnets qui scannent en continu les réseaux à la recherche d’appareils vulnérables.
Un foyer équipé de plusieurs objets connectés subit régulièrement des tentatives de connexion non sollicitées. Ces scans exploitent les ports ouverts, les protocoles non sécurisés et les identifiants par défaut. Lorsqu’un appareil est compromis, il peut être enrôlé dans un réseau de machines zombies utilisé pour des attaques par déni de service, du minage de cryptomonnaie ou comme relais pour d’autres intrusions.
Les téléviseurs connectés figurent parmi les cibles privilégiées, en raison de leur puissance de calcul supérieure à celle d’un capteur ou d’une ampoule. Leur système d’exploitation, rarement mis à jour par les utilisateurs, offre une porte d’entrée stable pour les attaquants.
Le problème dépasse la simple compromission d’un appareil isolé. Un objet connecté infecté sur un réseau domestique peut servir de pivot pour atteindre des données plus sensibles stockées sur un ordinateur ou un smartphone connecté au même réseau Wi-Fi.
Données personnelles et domotique : le maillon faible du cloud fabricant
Les objets connectés collectent en continu des données sur les habitudes de vie : horaires de présence, température préférée, conversations captées par les assistants vocaux, flux vidéo des caméras. Ces données transitent par les serveurs cloud du fabricant, dont le niveau de sécurisation échappe totalement au contrôle de l’utilisateur.
En parallèle du Cyber Resilience Act, le Data Act européen encadre désormais l’accès aux données générées par les objets connectés. Ce texte donne aux utilisateurs un droit d’accès et de portabilité sur les données produites par leurs appareils, ce qui pose la question de la responsabilité en cas de fuite.
En revanche, aucune obligation de chiffrement de bout en bout n’est imposée pour les données stockées sur les serveurs des fabricants d’objets grand public. Un fabricant peut techniquement respecter le Cyber Resilience Act tout en conservant des pratiques de stockage cloud insuffisantes. Les retours terrain divergent sur ce point : certains fabricants européens chiffrent systématiquement, d’autres se contentent du minimum réglementaire.
Sécuriser ses objets connectés : les mesures qui réduisent réellement la surface d’attaque
Plutôt qu’une liste de conseils génériques, trois actions ont un impact mesurable sur la sécurité d’un réseau domestique IoT.
La segmentation réseau consiste à isoler les objets connectés sur un réseau Wi-Fi distinct de celui utilisé pour les ordinateurs et smartphones. La plupart des routeurs récents proposent cette fonctionnalité via un réseau invité ou un VLAN. Un appareil compromis sur un réseau segmenté ne peut pas atteindre les données sensibles du réseau principal.
La désactivation des fonctionnalités inutilisées (accès distant, UPnP, microphone sur un appareil qui n’en a pas besoin) réduit le nombre de points d’entrée exploitables. Chaque service activé est un vecteur d’attaque potentiel.
Le suivi des mises à jour firmware, lorsqu’elles existent, reste la mesure la plus directe contre les vulnérabilités connues. Privilégier des fabricants qui s’engagent sur une durée de support logiciel explicite permet d’éviter les appareils abandonnés après quelques mois.
La réglementation européenne va progressivement forcer l’industrie à intégrer la sécurité comme un critère de base. D’ici là, la responsabilité reste partagée entre des fabricants encore trop laxistes et des utilisateurs rarement informés de l’exposition réelle de leur réseau domestique.
