Une enceinte Alexa, une caméra connectée ou une Apple Watch, les objets connectés peuplent notre quotidien. Utiles, voire indispensables, ces appareils, branchés sur votre réseau, sont autant de portes ouvertes sur votre PME. Des failles potentielles de sécurité, dont raffolent les cybercriminels.
Une machine à café qui réclame une rançon, un aquarium connecté qui vide un casino, une pompe industrielle qui échappe soudain à tout contrôle. Derrière ces histoires authentiques, presque comiques, se cache une réalité sérieuse : la croissance de l’Internet des objets (Internet of Things, IoT) multiplie les risques cyber des PME. Chaque appareil branché sur votre réseau Wi-Fi ou 5G représente une porte d’entrée potentielle pour les pirates. Le danger de ces objets du quotidien est donc réel, mais parfois difficile à imaginer. Pourtant, les exemples ne manquent pas…
Quand un objet anodin devient une faille
En 2020, un chercheur en cybersécurité prend le contrôle à distance d’une machine à café connectée. Après une semaine de rétro-ingénierie, il la transforme en machine à rançon : l’appareil s’emballe, crache de l’eau brûlante, impossible de l’arrêter à moins de la débrancher ou… de payer. Cette démonstration volontaire avait un objectif : alerter les concepteurs et les utilisateurs sur les risques de l’IoT. Si une cafetière peut « déraper », imaginez le reste des objets connectés, même les plus anodins. En 2017, un casino nord-américain s’est fait dérober sa base de données de gros joueurs. Le point d’entrée ? Le thermomètre connecté d’un aquarium installé dans le hall. Les pirates l’ont exploité pour entrer sur le réseau, remonter jusqu’au précieux fichier et l’exfiltrer vers un appareil… en Finlande. Un thermomètre pour braquer un casino ? La faille était là où personne ne regarde. Mais ces exemples ne sont pas des cas isolés.
Ces « portes » laissées ouvertes sans le savoir
En 2016, une attaque massive mettait à genoux Twitter, Netflix ou PayPal, en détournant des dizaines de milliers de caméras de surveillance et d’enregistreurs mal protégés. En 2021, un pirate prenait le contrôle d’une station de traitement d’eau en Floride, tentant de contaminer dangereusement l’eau potable. Et si vous faisiez le tour de votre PME, quelles seraient les portes d’entrée potentielles pour les cybercriminels ? Une enceinte Alexa oubliée sur un coin de bureau, une Smart TV de la salle de réunion mal protégée, les caméras de surveillance branchées sur votre réseau Wi-Fi, une imprimante partagée, un système d’alarme, la parlophonie connectée ou les capteurs de température : chacun de ces objets est un « ordinateur » relié à votre réseau. Pris isolément, chacun paraît insignifiant, mis bout à bout, ils dessinent une surface d’exposition plus vaste qu’un simple parc d’ordinateurs.
Le pire angle mort, c’est celui qu’on ignore
Le problème est souvent structurel. Beaucoup de fabricants privilégient le confort et le prix sur la sécurité, livrant des appareils vulnérables « par défaut » : mots de passe d’usine inchangés, firmwares jamais mis à jour, appareils sans surveillance une fois installés. Là où un poste de travail est dûment protégé, supervisé et corrigé en continu, l’objet connecté, lui, reste dans l’angle mort. C’est pourtant la même porte, sur le même réseau. La bonne nouvelle ? Aucune de ces failles n’est une fatalité. Un mot de passe changé, une mise à jour appliquée, un inventaire tenu à jour, la plupart de ces « portes » se referment avec des gestes simples. Encore faut-il savoir qu’elles existent…
