Comment sécuriser les objets connectés de votre entreprise ?

Une lampe de bureau peut-elle servir de porte d'entrée vers un réseau d'entreprise ? Jusqu'à récemment, la question restait théorique : trouver une faille dans le logiciel interne d'un objet connecté demandait des semaines de travail à un spécialiste en rétro-ingénierie. Une expérience relayée par Numerama vient de changer la donne. Un chercheur en sécurité a laissé un agent d'intelligence artificielle (Claude, développé par Anthropic) analyser cinq appareils de son quotidien, dont une webcam et une lampe connectée. Résultat : contrôle pris sur les cinq, en quelques heures.

Ce que l'expérience du chercheur démontre

Le chercheur n'a presque rien fait lui-même. Il a fourni à l'agent le logiciel interne de chaque appareil, ce que les fabricants appellent le firmware, puis l'a laissé travailler. L'agent a décompilé le code, repéré les failles, construit le moyen d'en prendre le contrôle. La conclusion du chercheur tient en une phrase : « Ça m'inquiète pour plusieurs raisons. »

La première raison saute aux yeux. Ce type d'analyse était réservé à une poignée d'experts, facturés cher, mobilisés sur des semaines. Un agent d'intelligence artificielle comprime ce délai en quelques heures. Or les attaquants disposent exactement des mêmes outils que ce chercheur. La barrière technique qui protégeait, par défaut, les objets connectés d'entrée de gamme vient de tomber.

La seconde raison dérange davantage : l'agent n'a pas eu à forcer grand-chose. Mots de passe inscrits en dur dans le code, communications non chiffrées, composants logiciels vieux de plusieurs années. Les failles étaient déjà là. Personne ne les cherchait, voilà tout.

Combien d'objets connectés travaillent dans vos murs ?

Faites le tour de vos locaux, mentalement. L'imprimante multifonction. La caméra à l'entrée. Le téléviseur de la salle de réunion, le lecteur de badges, le thermostat, l'enceinte connectée, la borne Wi-Fi d'appoint achetée un jour de panne. Dans une entreprise de trente personnes, ce recensement aboutit couramment à quinze, vingt, parfois quarante appareils.

Chacun est un petit ordinateur. Il exécute un système, ouvre des connexions vers l'extérieur, parfois vers des serveurs à l'étranger, et reste allumé nuit et jour. Aucun n'a suivi le parcours qu'on impose à un nouveau salarié ou même à un simple ordinateur portable : pas de vérification à l'arrivée, pas de mise à jour planifiée, pas de responsable désigné. La plupart gardent leur mot de passe d'usine, celui qui figure dans la documentation publique du fabricant.

Des attaques déjà documentées, sans prouesse technique

Trois affaires connues donnent la mesure du problème.

En 2016, le logiciel malveillant Mirai a pris le contrôle de centaines de milliers de caméras et de routeurs à travers le monde, avant de s'en servir pour paralyser une partie du web américain. Sa méthode d'entrée : une liste de 61 mots de passe d'usine, essayés un par un. Rien de plus.

En 2018, un casino nord-américain s'est fait dérober sa base de données de clients importants. Le point d'entrée identifié par les enquêteurs : le thermomètre connecté de l'aquarium du hall.

En 2021, des intrus ont accédé aux images de 150 000 caméras de surveillance du fabricant Verkada, installées dans des usines, des hôpitaux et des écoles. Un identifiant d'administration trouvé en ligne suffisait.

Aucune de ces attaques ne reposait sur un exploit sophistiqué. Toutes exploitaient des appareils installés puis oubliés. L'expérience du chercheur ajoute un étage au problème : les failles plus subtiles, celles qui demandaient jusqu'ici de vraies compétences, deviennent accessibles à n'importe quel attaquant équipé d'un agent d'intelligence artificielle.

Reprendre la main : la méthode, étape par étape

La bonne nouvelle figure dans la même expérience. L'outil qui accélère l'attaque accélère aussi la défense, et l'essentiel du travail ne demande même pas d'intelligence artificielle. Pour un site de taille courante, comptez une après-midi.

1. Recensez. L'interface de votre box ou de votre routeur affiche la liste des appareils connectés. Chaque ligne inconnue mérite une identification. Notez la marque, le modèle, l'emplacement et, si quelqu'un s'en souvient, qui l'a branché.
2. Changez les mots de passe d'usine. La mesure au meilleur rendement : elle aurait bloqué Mirai à elle seule. Un mot de passe long et unique par appareil, conservé dans un gestionnaire de mots de passe.
3. Mettez à jour le logiciel interne. L'option se trouve dans l'interface d'administration de chaque appareil. Si le fabricant ne publie plus rien depuis des années, notez-le : cet appareil est candidat au remplacement.
4. Isolez. La plupart des box et routeurs permettent de créer un réseau séparé, souvent appelé réseau invité. Placez-y les objets connectés. Une caméra compromise ne verra alors ni vos serveurs ni vos postes de travail.
5. Coupez l'inutile. Accès à distance jamais utilisé, fonctions de découverte automatique (UPnP), micro d'une enceinte dans une salle où se tiennent des réunions sensibles : tout ce qui ne sert pas s'éteint.

Les pièges qui font échouer la démarche

Premier piège : croire l'inventaire terminé. Des appareils vont et viennent. Un vidéoprojecteur ressort d'un placard, un salarié branche un gadget rapporté d'un salon. La liste doit vivre : chaque nouvel achat repasse par les cinq étapes, sinon l'angle mort se reforme en quelques mois.

Deuxième piège : l'appareil impossible à corriger. Certains objets d'entrée de gamme n'autorisent ni changement de mot de passe ni mise à jour. Deux options honnêtes dans ce cas : l'isoler strictement, ou le débrancher. Le conserver tel quel sur le réseau principal revient à accepter le risque en connaissance de cause, ce qui peut se défendre, à condition que la décision soit prise et notée quelque part.

Troisième piège, le plus répandu : reporter. Le sujet paraît secondaire face aux urgences du quotidien. Les affaires citées plus haut ont pourtant un point commun : sur place, tout le monde aurait juré que la caméra ou le thermomètre ne présentait aucun enjeu.

Par où commencer

Ce que cette expérience change se résume simplement : le coût d'une attaque sur les objets connectés vient de chuter, celui de la défense n'a pas bougé. Une après-midi d'inventaire et de réglages couvre l'essentiel. Si vous préférez confier ce recensement à un regard extérieur, ou faire vérifier que votre réseau isole correctement ce qui doit l'être, Autensai accompagne les entreprises françaises sur ces sujets : vous pouvez prendre rendez-vous pour en parler.