Sécurité de l’IoT : Des mots de passe défaillants à un risque mondial - Y a-t-il des gagnants ?

Chiffres clés

• Les appareils IoT sont souvent livrés avec des mots de passe par défaut comme « admin admin », que de nombreux utilisateurs ne changent jamais.
• Les attaques ont évolué : des simples botnets, elles utilisent désormais l’IoT comme tremplin pour des rançongiciels ou de l’espionnage.
• De nouvelles lois en Californie, au Royaume-Uni et dans l’UE visent à interdire les mots de passe par défaut et à exiger une meilleure transparence sur la sécurité.
• De nombreux appareils IoT ne peuvent pas être facilement mis à jour ou corrigés, ce qui augmente les risques à long terme.
• Les améliorations en matière de sécurité peinent à suivre la croissance explosive et la complexité du marché de l’IoT.

L’explosion de l’IoT : la commodité vire au chaos

Imaginez votre maison comme un château, mais chaque ampoule connectée, réfrigérateur ou sonnette intelligente est une fenêtre - certaines grandes ouvertes. Au cours des cinq dernières années, l’Internet des objets (IoT) s’est tissé dans la vie quotidienne, des babyphones aux réseaux électriques. Mais à mesure que le nombre d’appareils explose, les risques augmentent aussi, selon Dark Reading et des experts comme Tod Beardsley de runZero et Beau Woods de I Am the Cavalry. Le problème central : la sécurité n’a tout simplement pas suivi le rythme de l’innovation.

Mots de passe par défaut : la porte d’entrée des attaquants

De nombreux appareils IoT sont encore livrés avec des mots de passe génériques - comme « admin admin » - que les utilisateurs changent rarement, ce qui en fait des cibles faciles. L’attaque retentissante du botnet Mirai en 2016, qui a détourné des milliers de ces appareils pour perturber des géants comme Netflix et Twitter, a été un signal d’alarme. Depuis, certaines régions ont réagi : la loi californienne de 2018 a imposé des mots de passe uniques par appareil, tandis que la loi britannique Product Security and Telecoms Infrastructure Act (2024) et le Cyber Resilience Act de l’UE ont introduit des règles similaires. Mais comme le souligne Chris Wysopal de Veracode à Dark Reading, « les améliorations sont visibles, mais inégales ».

L’attaque prend le dessus sur la défense

Selon Beardsley, la plupart des avancées en matière de sécurité IoT proviennent des chercheurs et hackers qui testent les appareils lors d’événements comme DEF CON, et non des fabricants ou des régulateurs. Les tests d’intrusion - où des experts simulent des attaques pour détecter les failles - incluent désormais systématiquement l’IoT, mais les défenses réelles restent statiques. Les fabricants hésitent à renforcer la sécurité, craignant de rebuter les acheteurs ou de compliquer l’expérience utilisateur.

Le nouveau visage des attaques IoT

Les attaquants d’aujourd’hui sont plus sophistiqués. Au lieu de se contenter de créer des botnets, ils exploitent les failles des appareils IoT comme portes d’entrée pour des rançongiciels, de l’espionnage ou des attaques réseau plus profondes. L’exploitation tristement célèbre de routeurs SOHO en fin de vie par des acteurs étatiques chinois présumés montre comment des appareils négligés peuvent devenir des espions ou saboteurs silencieux. Comme le note Wysopal, les vulnérabilités de l’IoT ressemblent désormais à celles des ordinateurs classiques - mais avec des enjeux plus élevés, car les gadgets IoT sont souvent « installés et oubliés ».

Politiques, concurrence et perspectives

Des experts comme Beau Woods avertissent que, si certaines entreprises progressent, l’afflux de nouveaux acteurs - surtout des startups - fait que les leçons ne sont pas toujours retenues. Beaucoup de fabricants craignent qu’investir dans la sécurité ne les désavantage, à moins que les acheteurs ne l’exigent. Tant que les gouvernements n’imposeront pas de règles plus strictes ou que les clients ne feront pas de la sécurité un critère décisif, la tendance risque de perdurer. L’espoir est que la nouvelle législation et la sensibilisation croissante pousseront le marché vers de meilleures pratiques avant la prochaine grande faille.

Conclusion : Un monde connecté à la croisée des chemins

Les cinq dernières années ont montré que plus nous connectons, plus nous nous exposons. Si des progrès ont été réalisés, le paysage de l’IoT reste un patchwork d’appareils vulnérables, de législations ambitieuses et d’attaquants avertis. À moins que fabricants, régulateurs et consommateurs ne s’unissent autour de la sécurité, les risques ne feront que s’accroître - transformant la promesse d’un monde plus intelligent en terrain de jeu pour les cybercriminels.

WIKICROOK

• IoT (Internet des objets) : L’IoT (Internet des objets) désigne les appareils du quotidien, comme les objets connectés ou les capteurs, reliés à Internet - ce qui en fait souvent des cibles pour les cyberattaques.
• Botnet : Un botnet est un réseau d’appareils infectés contrôlés à distance par des cybercriminels, souvent utilisé pour lancer des attaques massives ou voler des données sensibles.
• Mot de passe par défaut : Un mot de passe par défaut est un mot de passe prédéfini, souvent simple, sur des appareils ou comptes que les utilisateurs sont censés changer mais laissent souvent inchangé, ce qui pose des risques de sécurité.
• Correctif : Un correctif est une mise à jour logicielle publiée pour corriger des failles de sécurité ou des bugs, aidant à protéger les appareils contre les cybermenaces et à améliorer leur stabilité.
• Test d’intrusion : Un test d’intrusion est une cyberattaque simulée par des experts pour découvrir et corriger les faiblesses de sécurité avant qu’elles ne soient exploitées par de vrais attaquants.