Un aspirateur robot qui nettoie des bureaux la nuit peut sembler anodin. En juillet 2026, une faille découverte sur les aspirateurs Shark a révélé qu’un seul certificat client extrait d’un appareil permettait d’envoyer des commandes à plus de 600 000 appareils de la même région cloud. Accès aux flux de caméra, aux plans d’étage, aux identifiants Wi-Fi en clair : un objet du quotidien s’est transformé en porte d’entrée vers des réseaux entiers.
Les failles dans les objets connectés ne relèvent plus du scénario théorique pour les entreprises.
Lire également : L'utilisation d'un VPN protège les données lors du télétravail
Ports de debug et certificats partagés : deux angles morts techniques de la sécurité IoT
Les articles sur la cybersécurité IoT parlent souvent de mots de passe par défaut ou de firmwares obsolètes. Ces problèmes existent, mais deux vulnérabilités moins visibles causent des dégâts plus étendus.
La première concerne les ports de debug laissés ouverts en production. Pendant le développement, les fabricants utilisent des interfaces (JTAG, UART) pour tester leurs appareils. Ces ports permettent de lire la mémoire, d’extraire le firmware ou d’injecter du code. Quand ils restent actifs sur un produit livré, un attaquant ayant un accès physique, même bref, peut compromettre l’appareil de façon indétectable par le réseau.
Lire également : Anonyme Story insta : les erreurs à éviter pour rester vraiment invisible
La seconde vulnérabilité est celle mise en lumière par l’incident Shark : le partage de certificats d’identité entre appareils. Au lieu d’attribuer une identité cryptographique unique à chaque objet, certains fabricants utilisent un même certificat pour des centaines de milliers d’unités. Compromettre un seul appareil revient alors à contrôler toute la flotte.
Imprimantes, capteurs de température, badgeuses, caméras : chacun de ces objets embarque un petit système d’exploitation, souvent minimal, rarement mis à jour. C’est cette accumulation silencieuse qui crée la surface d’attaque.
Télétravail et objets connectés personnels : la faille IoT s’étend au domicile
Le périmètre réseau d’une entreprise ne s’arrête plus à ses murs. Quand un salarié se connecte au VPN depuis chez lui, son ordinateur professionnel partage le même réseau Wi-Fi que ses enceintes connectées, sa caméra de surveillance ou son thermostat intelligent.
Un objet personnel compromis peut servir de relais vers le réseau d’entreprise. L’attaquant n’a pas besoin de cibler directement le poste de travail. Il lui suffit d’exploiter une faille sur un appareil domestique pour intercepter du trafic ou se déplacer latéralement vers des ressources professionnelles.
Des rapports sectoriels 2025 signalent une augmentation de plus du double des attaques sur les endpoints IoT d’une année sur l’autre. Cette tendance s’explique en partie par la multiplication des objets connectés hors du contrôle des équipes IT, au domicile des collaborateurs.
Pourquoi la segmentation réseau classique ne suffit plus
La segmentation, c’est-à-dire le fait d’isoler les objets connectés sur un réseau séparé, reste une bonne pratique. En revanche, elle ne protège pas contre un appareil compromis qui communique légitimement avec un service cloud. Si le certificat de cet appareil est volé, l’attaquant dialogue directement avec l’infrastructure cloud sans jamais toucher au réseau interne segmenté.
La protection passe désormais par une identité cryptographique unique par appareil, couplée à une surveillance des comportements anormaux. Un capteur de température qui envoie soudainement des requêtes vers un serveur inconnu doit déclencher une alerte automatique.
Cyber Resilience Act : ce que le règlement européen change pour les fabricants et les acheteurs
L’Union européenne a adopté le Cyber Resilience Act (CRA), qui impose aux fabricants d’objets connectés vendus en Europe des exigences de sécurité tout au long du cycle de vie du produit. Concrètement, cela signifie :
- L’obligation de fournir des mises à jour de sécurité pendant toute la durée de vie attendue du produit, et non plus seulement pendant la période de garantie commerciale
- L’interdiction de commercialiser des appareils avec des mots de passe par défaut identiques sur toute une gamme, une pratique encore courante
- La nécessité de documenter et signaler les vulnérabilités connues, ce qui donne aux acheteurs professionnels un levier de vérification avant déploiement
Pour les entreprises, ce règlement change la relation avec les fournisseurs. Avant d’intégrer un capteur industriel ou une caméra dans son réseau, une organisation peut exiger des garanties contractuelles sur la politique de mises à jour et la gestion des certificats.
Réduire le risque IoT en entreprise : les mesures qui comptent vraiment
Dresser la liste de tous les objets connectés présents sur le réseau est le point de départ. Sans inventaire, impossible de protéger ce qu’on ne connaît pas. Beaucoup d’entreprises découvrent lors d’un audit que leur nombre d’appareils IoT dépasse largement leurs estimations.
Au-delà de l’inventaire, trois actions ont un impact concret :
- Appliquer les mises à jour firmware dès leur publication, en priorité sur les appareils exposés à internet ou ayant accès à des données sensibles
- Exiger de chaque fournisseur un certificat d’identité unique par appareil, et refuser les équipements utilisant des secrets partagés entre unités
- Surveiller le trafic sortant des objets connectés : un appareil IoT a un comportement réseau prévisible, et toute déviation (volume de données inhabituel, destination inconnue) mérite investigation
La gestion de la sécurité IoT n’est pas un projet ponctuel. C’est un processus continu, aligné sur le cycle de vie de chaque appareil. Un capteur déployé aujourd’hui sera peut-être encore actif dans huit ans, bien après que son fabricant aura cessé de le supporter.
L’incident Shark rappelle une réalité que les grilles de risques classiques sous-estiment : la compromission d’un seul objet peut affecter des centaines de milliers d’appareils. Pour les entreprises, la question n’est plus de savoir si leurs objets connectés seront ciblés, mais quand, et si leurs défenses tiendront.
