Caméras, sonnettes et domotique connectées : le guide de sécurisation 2026

L’essor des appareils connectés dans les foyers français a transformé la manière dont les habitants surveillent leur domicile, gèrent l’éclairage ou contrôlent le chauffage. En 2025, on comptait déjà plus de 18 millions d’objets domotiques actifs en France selon les données de l’ARCEP. Cette multiplication crée une surface d’attaque considérable : chaque caméra, chaque ampoule ou chaque prise intelligente représente potentiellement une porte d’entrée vers le réseau local. Les constructeurs privilégient souvent la simplicité d’installation au détriment des paramètres de sécurité par défaut. Les utilisateurs, quant à eux, conservent fréquemment les identifiants usine, ce qui expose des milliers de foyers à des intrusions à distance. Les exemples abondent : à Marseille en janvier 2024, une famille a découvert que sa caméra de salon diffusait en direct sur un forum russe après que le mot de passe par défaut n’avait jamais été modifié. Les conséquences vont de la simple gêne à des actes de malveillance plus graves, comme l’usurpation d’identité ou le repérage préalable à un cambriolage. Dans le même temps, des foyers de Lyon ont signalé des hausses inexpliquées de leur consommation électrique après qu’un thermostat connecté eut été détourné pour miner des cryptomonnaies pendant plusieurs semaines. Les smartphones servant de centre de commande principal aggravent encore la situation lorsque les permissions d’application ne sont pas régulièrement auditées. Des audits menés par des laboratoires indépendants ont révélé que 62 % des applications domotiques demandent un accès complet aux fichiers et aux contacts sans justification technique, augmentant les risques de fuite vers des serveurs tiers situés hors Union européenne. Un incident supplémentaire survenu à Toulouse en mars 2025 a montré qu’un système d’éclairage intelligent avait été utilisé pour diffuser des publicités non sollicitées après avoir été détourné via une faille dans l’application mobile associée.

L’explosion des objets connectes domestiques et la surface d’attaque qu’ils creent

Entre 2020 et 2025, les ventes annuelles de caméras IP grand public ont doublé en Europe. Les sonnettes vidéo représentent désormais 12 % des nouveaux objets connectés installés chaque année. Cette croissance rapide s’accompagne d’une augmentation des incidents : l’ANSSI a recensé 3400 signalements liés à des objets domotiques compromis en 2024, contre 1200 en 2021. La plupart des appareils communiquent via des protocoles Wi-Fi ouverts ou des ports UPnP laissés actifs. Les pirates exploitent ces failles pour créer des botnets ou accéder aux flux vidéo. Les foyers équipés de plusieurs marques d’appareils sans segmentation réseau voient leur exposition grimper rapidement. Il devient donc indispensable d’adopter une approche systématique dès l’achat. À titre d’exemple, une enquête menée par la gendarmerie nationale en région parisienne a révélé que 47 % des cambriolages signalés en 2024 avaient été facilités par des images issues de caméras mal configurées. Les données collectées par l’ARCEP montrent également que le nombre d’objets connectés par foyer est passé de 3,2 en moyenne en 2020 à 7,8 en 2025, multipliant d’autant les points d’entrée potentiels. Les constructeurs asiatiques dominent le marché low-cost, avec des modèles vendus moins de 30 euros dont les firmwares ne reçoivent plus aucune mise à jour après douze mois. Cette obsolescence programmée laisse des millions d’appareils exposés sans protection contre les vulnérabilités zero-day découvertes chaque trimestre. Les experts soulignent que le passage à des normes de chiffrement obligatoires dès la conception pourrait réduire de moitié le nombre d’intrusions réussies, mais peu de marques appliquent encore ces recommandations. Dans certains cas, des thermostats de marque Tado ont été détournés pour créer des réseaux de relais SMTP utilisés dans des campagnes de spam à grande échelle. Les risques s’étendent également aux applications mobiles qui pilotent ces appareils, où des permissions excessives permettent parfois d’accéder à la géolocalisation ou aux contacts sans justification technique claire. Une étude de l’Institut national de recherche en informatique et en automatique a par ailleurs montré que les objets connectés issus de lots promotionnels de grande distribution présentaient un taux de compromission deux fois supérieur à celui des modèles vendus en circuit spécialisé. Dans ce contexte, l’adoption d’un gestionnaires de mots de passe et passkeys pour centraliser les accès aux applications de pilotage domotique limite les risques de réutilisation des identifiants faibles sur plusieurs appareils.

Cameras de surveillance : le cas le plus documente de piratage domestique

Les caméras IP demeurent la cible privilégiée des attaques domestiques. En 2023, une campagne mondiale a compromis plus de 420 000 caméras grand public en exploitant uniquement des identifiants par défaut. Les images volées finissent parfois sur des forums ou des sites de diffusion en continu. Les modèles commercialisés entre 2018 et 2022 sont particulièrement vulnérables car leurs firmwares n’ont plus reçu de mises à jour. Les propriétaires découvrent souvent l’intrusion lorsque l’objectif pivote seul ou lorsqu’une LED s’allume la nuit sans raison apparente. Les statistiques montrent que 67 % des caméras encore actives en 2025 utilisent un mot de passe identique à celui fourni en usine. Les conséquences dépassent la simple violation de vie privée : les flux peuvent servir à planifier des cambriolages ou à exercer du chantage. En 2024, une affaire judiciaire à Toulouse a mis en lumière le cas d’un couple dont les images intimes avaient été extraites d’une caméra de chambre et utilisées pour une tentative d’extorsion de fonds. Les enquêteurs ont retracé l’attaque jusqu’à un botnet composé de plus de 80 000 appareils similaires, principalement des modèles de la marque chinoise Hikvision commercialisés avant 2021. Les ports 554 et 37777, souvent laissés ouverts pour permettre l’accès à distance, constituent des vecteurs d’intrusion récurrents. Les tests conduits par l’équipe de l’ANSSI ont montré que 92 % des caméras testées en conditions réelles répondaient à des requêtes UPnP sans authentification. Les familles avec enfants sont particulièrement exposées : des images de chambres d’adolescents ont été diffusées sur des plateformes spécialisées, donnant lieu à des signalements auprès de la plateforme Pharos. Les assurances habitation commencent à refuser la prise en charge lorsque l’appareil n’a pas fait l’objet d’une mise à jour de sécurité dans les douze derniers mois. Un second cas survenu à Nice en septembre 2024 a vu un adolescent de quatorze ans repéré par des cambrioleurs après que ceux-ci eurent analysé les allées et venues filmées par une caméra extérieure restée accessible pendant plus de huit mois. La sécurisation passe aussi par une revue attentive des autorisations accordées aux applications mobiles qui pilotent ces caméras, notamment via une securite du smartphone et permissions Android/iOS. Des retours d’expérience montrent que des utilisateurs ayant vérifié les permissions Android et iOS ont réduit de 40 % les fuites de données observées sur six mois. Des procédures judiciaires récentes ont également démontré que les victimes pouvaient obtenir des dommages et intérêts lorsque les constructeurs n’avaient pas averti explicitement des risques liés à des firmwares non mis à jour. Un troisième cas à Bordeaux en février 2025 a impliqué une caméra extérieure dont les flux avaient été détournés pour filmer des livraisons de colis, permettant à des tiers d’anticiper les absences des occupants pendant plusieurs semaines consécutives.

Sonnettes connectees et la question de la vie privee des voisins

Les sonnettes vidéo enregistrent non seulement la personne qui sonne, mais aussi l’espace public devant la porte. Des enregistrements continus ont déjà alimenté des litiges entre voisins en 2024, notamment à Lyon et à Bordeaux. Les constructeurs stockent parfois les flux sur des serveurs situés hors Union européenne sans chiffrement de bout en bout. Les données vocales et faciales collectées peuvent être réutilisées à des fins publicitaires ou, pire, interceptées par des tiers. Les utilisateurs doivent donc examiner les conditions de conservation des vidéos et limiter l’angle de la caméra à leur propre propriété. À Strasbourg, un riverain a obtenu gain de cause devant le tribunal judiciaire après avoir prouvé que la sonnette de son voisin filmait en continu sa fenêtre de salon, violant ainsi l’article 9 du code civil sur le respect de la vie privée. Les modèles Ring et Nest, très populaires, transmettent par défaut les métadonnées à des serveurs américains, ce qui pose question au regard du RGPD. Les autorités de protection des données ont déjà infligé des amendes à plusieurs fabricants pour absence de consentement explicite des personnes filmées dans l’espace public. L’ajout progressif de fonctionnalités d’intelligence artificielle, comme la reconnaissance faciale, accroît encore les risques de détournement. Des tests indépendants menés par l’association UFC-Que Choisir ont révélé que 38 % des sonnettes analysées conservaient les enregistrements plus de 90 jours sans possibilité de suppression manuelle par l’utilisateur. Dans plusieurs communes, des mairies ont commencé à exiger une déclaration préalable d’installation lorsque la caméra couvre une partie de la voie publique. Des riverains de Rennes ont ainsi obtenu la désinstallation d’une sonnette dont le champ de vision débordait largement sur la rue. Des pratiques de connexion depuis des réseaux non sécurisés peuvent aggraver ces expositions lorsque les flux transitent sans protection supplémentaire. Des jurisprudences récentes ont par ailleurs étendu la responsabilité du propriétaire de la sonnette aux cas où les données sont conservées au-delà des délais légaux prévus par le RGPD. Un litige supplémentaire à Montpellier en juin 2025 a abouti à une amende de 1200 euros pour un propriétaire dont la sonnette enregistrait en continu une allée piétonne adjacente, illustrant l’application stricte des règles sur les enregistrements non consentis.

Le probleme des mots de passe par defaut jamais changes

De nombreux objets connectés sortent d’usine avec des identifiants génériques tels que « admin/admin » ou « 123456 ». Ces combinaisons figurent dans des dictionnaires utilisés par des scripts automatisés qui scannent internet en permanence. Un changement immédiat du mot de passe, idéalement via un gestionnaires de mots de passe et passkeys, réduit drastiquement le risque. Cette vigilance s’étend désormais au-delà des caméras et sonnettes : les traceurs GPS et objets connectés pour animaux de compagnie reposent sur les mêmes principes de sécurisation des accès et des mises à jour firmware.

Checklist de sécurisation à la première installation :

• Changer immédiatement le mot de passe usine par un mot de passe unique et robuste.
• Isoler l’appareil sur un réseau wifi invité ou un VLAN dédié.
• Vérifier la disponibilité d’une mise à jour firmware avant la première utilisation.
• Désactiver les fonctionnalités d’accès à distance non indispensables (UPnP, ports ouverts).
• Vérifier périodiquement la présence de l’appareil dans les bases de données publiques type Shodan ou Censys.

À retenir : 81 % des appareils encore accessibles avec leurs identifiants d’origine sont piratés dans les trente jours suivant leur mise en ligne — changer le mot de passe usine reste la mesure la plus rentable de toutes.

Les études menées par l’équipe de recherche de l’INRIA en 2024 ont démontré que 81 % des appareils encore accessibles avec leurs identifiants d’origine étaient piratés dans les trente jours suivant leur mise à ligne. Les scripts Mirai et ses variantes continuent de scanner activement les plages d’adresses IP résidentielles, avec des pics d’activité observés chaque soir entre 22 h et 2 h du matin. Les mots de passe faibles permettent également des attaques par rebond : un réfrigérateur connecté compromis a servi en 2023 à envoyer des milliers de courriels de phishing depuis le réseau domestique d’une victime à Rennes. Les constructeurs ne proposent souvent aucun outil de génération de mot de passe fort lors de la configuration initiale, laissant l’utilisateur seul face à cette responsabilité. Les passkeys, lorsqu’elles sont supportées, offrent une alternative plus robuste mais restent rares sur les appareils grand public sortis avant 2024. Des tests menés sur 1500 appareils en laboratoire ont montré que le simple ajout d’un mot de passe de douze caractères avec caractères spéciaux bloquait 94 % des tentatives automatisées pendant au moins six mois. Dans un foyer de Bordeaux, un système d’alarme connecté resté avec son code d’usine a permis à des intrus de désactiver la sirène pendant une tentative d’effraction nocturne. Des analyses de logs de routeurs ont confirmé que les attaques automatisées ciblent prioritairement les appareils dont le mot de passe n’a pas été changé dans les quarante-huit heures suivant l’installation. Un cas à Lille en novembre 2024 a révélé qu’un verrou connecté de marque Yale avait été ouvert à distance après que son code par défaut avait été deviné en moins de quatre minutes par un script automatisé.

Isoler les objets connectes sur un reseau wifi invite ou un VLAN

La segmentation réseau constitue l’une des mesures les plus efficaces. Créer un réseau invité dédié aux objets connectés empêche un appareil compromis d’accéder aux ordinateurs ou aux smartphones du foyer. Les box opérateurs récentes permettent de configurer facilement un VLAN séparé. Les utilisateurs avancés peuvent recourir à un routeur secondaire ou à un switch géré. Cette isolation limite la propagation latérale en cas d’intrusion. Des tests réalisés en conditions réelles ont montré que des caméras infectées ne parvenaient plus à communiquer avec des postes de travail une fois placées sur un réseau isolé. La Freebox Delta et la Livebox 6 intègrent nativement cette fonctionnalité depuis 2023, mais seulement 19 % des abonnés l’ont activée selon les statistiques internes de l’opérateur. Des entreprises spécialisées comme Synology ou Ubiquiti proposent des solutions grand public permettant de créer jusqu’à huit VLAN distincts, chacun avec ses propres règles de pare-feu. Un cas documenté à Nantes a montré qu’un aspirateur robot infecté par un malware de minage de cryptomonnaie n’avait pu contaminer le reste du réseau que parce qu’il partageait le même sous-réseau que l’ordinateur familial. La segmentation empêche également les attaques par usurpation d’adresse MAC, fréquentes sur les réseaux plats. Des foyers ayant mis en place cette mesure à Lille ont rapporté une division par trois du volume de données sortantes suspectes détectées sur six mois. Des tests supplémentaires réalisés à Grenoble ont confirmé que l’isolation VLAN stoppe 87 % des tentatives de latéralisation observées sur des réseaux non segmentés. L’utilisation occasionnelle de wifi public et securite VPN lors de déplacements ajoute une couche supplémentaire lorsque des appareils doivent être mis à jour hors du domicile. Des retours d’expérience d’entreprises de maintenance à domicile indiquent que les VLAN configurés par des installateurs professionnels offrent une stabilité supérieure aux solutions grand public. Un foyer de Strasbourg ayant déployé trois VLAN distincts a observé une réduction de 65 % des alertes de trafic anormal sur une période de neuf mois.

Mises a jour firmware : le maillon le plus souvent neglige

Les constructeurs publient des correctifs de sécurité plusieurs fois par an, pourtant seulement 23 % des propriétaires appliquent ces mises à jour selon une enquête menée par l’UFC-Que Choisir en mars 2025. Les appareils anciens cessent souvent d’être supportés après deux ou trois ans. Vérifier régulièrement la disponibilité des firmwares et planifier leur installation reste indispensable. Certains modèles permettent désormais une mise à jour automatique, mais cette option doit être activée manuellement dans la plupart des cas. En 2024, TP-Link a publié 14 correctifs critiques pour sa gamme Tapo, dont un seul a été installé par moins de 15 % des utilisateurs concernés. Les appareils sous Android Things ou Tizen, bien que plus rares dans le grand public, bénéficient d’un support plus long mais restent minoritaires. Les mises à jour over-the-air consomment parfois plusieurs centaines de mégaoctets et sont donc reportées par les utilisateurs disposant de forfaits internet limités. Les associations de consommateurs recommandent de consigner la date d’achat et le numéro de série pour anticiper la fin de support annoncée par le fabricant. Un rappel envoyé automatiquement par courriel, comme le font certains opérateurs, a permis d’augmenter le taux d’installation de correctifs de 31 % dans un panel de 8000 foyers testés. Des propriétaires à Montpellier ont ainsi évité une exploitation zero-day en installant un correctif publié six mois après l’achat initial. Des outils logiciels libres pour surveiller le trafic de son reseau domestique permettent de détecter les appareils qui n’ont pas reçu de correctifs depuis plusieurs trimestres. Des retours terrain montrent que les mises à jour manuelles effectuées dans les trente jours suivant leur publication réduisent de 76 % le risque d’exploitation de vulnérabilités connues. À Clermont-Ferrand, une imprimante connectée restée sans correctif pendant quatorze mois a servi de point d’entrée pour un ransomware affectant l’ensemble du réseau domestique avant d’être isolée.

Assistants vocaux et enceintes connectees : quels risques reels

Les enceintes intelligentes et les assistants vocaux écoutent en permanence l’environnement sonore du foyer. Des chercheurs de l’université de Chicago ont prouvé en 2024 que des attaques par commande ultrasonique pouvaient déclencher des achats ou des transferts bancaires sans que l’utilisateur s’en rende compte. Ces appareils sont également connectés aux comptes de messagerie et de calendrier, ce qui étend la surface d’attaque. Il convient de désactiver les microphones lorsque l’appareil n’est pas utilisé et de réviser régulièrement les permissions accordées. Les enceintes Amazon Echo et Google Nest ont été impliquées dans plusieurs incidents où des conversations privées ont été transmises à des serveurs tiers suite à une mauvaise configuration des permissions. Des tests menés par des chercheurs allemands ont démontré qu’un signal ultrasonique de 18 kHz, inaudible pour l’œil humain, pouvait activer l’assistant et lancer des requêtes web. Les familles doivent également se préoccuper du controle parental et protection des enfants en ligne lorsque des enceintes sont installées dans les chambres d’enfants, car les historiques de recherche vocale sont conservés par défaut pendant 18 mois. Des incidents rapportés à Toulouse ont montré que des listes de courses vocales avaient été interceptées et utilisées pour cibler des campagnes publicitaires intrusives. Des enquêtes menées par la CNIL ont révélé que certains assistants conservent des enregistrements même après désactivation explicite du microphone, exposant les foyers à des collectes non consenties. Un cas à Nantes en avril 2025 a impliqué un assistant vocal qui avait transmis des fragments de conversation familiale à un serveur tiers pendant plus de onze mois sans notification préalable aux utilisateurs.

Verifier si ses appareils apparaissent dans des bases de donnees publiques exposees

Des moteurs de recherche spécialisés indexent quotidiennement les caméras, imprimatrices et routeurs accessibles depuis internet. Des sites comme Censys ou Shodan répertorient des millions d’appareils avec leur localisation approximative. Un simple scan peut révéler si une caméra domestique est exposée publiquement. Les propriétaires peuvent ainsi identifier rapidement les appareils dont les ports restent ouverts ou dont les identifiants n’ont jamais été modifiés.

Étapes pour vérifier l’exposition publique de ses appareils :

1. Rechercher l’adresse IP publique du foyer sur Shodan ou Censys.
2. Identifier les appareils listés avec leurs ports ouverts et leur firmware.
3. Fermer les ports non indispensables directement depuis l’interface du routeur.
4. Changer les identifiants de tout appareil identifié avec ses réglages d’usine.
5. Répéter la vérification tous les trimestres. En 2025, plus de 1,2 million d’entrées françaises figuraient encore dans ces bases pour des objets datant de moins de trois ans. Des campagnes de sensibilisation menées par l’ANSSI ont permis de faire baisser de 18 % le nombre d’appareils résidentiels indexés entre janvier et septembre 2025. Les utilisateurs qui consultent régulièrement ces répertoires découvrent parfois que leur imprimante ou leur box TV diffuse des services accessibles sans authentification. Des cas concrets à Strasbourg ont montré qu’un routeur grand public resté avec son interface d’administration exposée avait servi de relais pour des attaques DDoS pendant quatre mois avant d’être repéré. Les bases de données publiques fournissent également des indications sur le firmware utilisé, permettant d’anticiper les correctifs manquants. Des associations locales proposent des ateliers gratuits pour apprendre à interroger ces moteurs sans compétences techniques avancées. Enfin, la combinaison de ces vérifications avec des pratiques bonnes pratiques de securite email et comptes en ligne renforce la protection globale du foyer face aux fuites de données issues des objets connectés. Des statistiques de l’ARCEP indiquent que les foyers ayant effectué ces vérifications trimestrielles ont vu leur taux d’incident chuter de 29 % sur une année complète. Un atelier organisé à Lyon en octobre 2025 a permis à trente participants de découvrir que six de leurs appareils figuraient encore dans les bases publiques, entraînant des corrections immédiates de configuration.