Le nombre d’appareils IoT en circulation progresse chaque année à un rythme soutenu, porté par le Wi-Fi, la 5G et le Bluetooth. Cette expansion concerne autant les entreprises (capteurs industriels, caméras de surveillance, équipements médicaux) que les foyers (thermostats, enceintes, serrures connectées). Les objets connectés représentent désormais une surface d’attaque qui dépasse largement le périmètre informatique traditionnel, et les approches de cybersécurité peinent à suivre.
Appareils IoT non inventoriés : la faille que le pare-feu ne voit pas
La plupart des guides de sécurité IoT insistent sur le durcissement des mots de passe et la mise à jour du firmware. Ces recommandations restent valables, mais elles supposent un prérequis rarement rempli : connaître la liste exacte des dispositifs présents sur le réseau.
A voir aussi : L'authentification à double facteur freine l'usurpation d'identité
Les publications récentes sur les appareils dits « rogue » montrent que beaucoup d’entreprises ne détectent pas tous les équipements connectés à leur infrastructure. Un capteur de température installé par un prestataire, un répéteur Wi-Fi ajouté par un collaborateur, une caméra IP branchée sur un port Ethernet libre : ces objets n’apparaissent dans aucun inventaire, ne reçoivent aucune mise à jour et échappent aux politiques de segmentation réseau.
Le risque ne se limite pas au piratage de l’objet lui-même. Un appareil non inventorié peut servir de point d’entrée vers le réseau interne, permettre un mouvement latéral vers des ressources critiques ou exfiltrer des données sans que les outils de détection classiques ne déclenchent d’alerte.
A voir aussi : Le phishing par SMS se développe dans les pays francophones
Sécurité physique des objets connectés : un angle mort sous-estimé
Un thermostat intelligent fixé dans un couloir accessible au public, une borne de recharge exposée dans un parking, un badge NFC posé sur un bureau partagé : la sécurité physique des dispositifs IoT est rarement traitée avec le même sérieux que leur sécurité logicielle.
Un attaquant qui accède physiquement à un objet connecté peut extraire des informations stockées en mémoire, modifier le firmware ou injecter un implant matériel. Dans un contexte industriel, l’accès physique à un capteur peut compromettre toute une chaîne de production. Les retours terrain divergent sur la fréquence réelle de ces attaques en environnement professionnel, mais leur faisabilité technique est documentée.
La question se pose aussi pour les interfaces radio. Des vulnérabilités Bluetooth susceptibles d’exposer massivement des appareils ont été signalées, y compris sur des dispositifs grand public comme les lunettes connectées. Ces dernières peuvent capturer involontairement des données sensibles (conversations, images d’écran, documents) dans leur champ de vision, ce qui dépasse le cadre du piratage à distance.
Fuite de données IoT via des clouds tiers : qui contrôle vraiment le flux ?
Chaque objet connecté qui transmet des données passe par une infrastructure cloud, souvent gérée par le fabricant ou un prestataire intermédiaire. L’utilisateur final, qu’il soit un particulier ou une entreprise, n’a généralement pas de visibilité complète sur le parcours de ses données.
- Les données collectées par un thermostat ou une caméra transitent vers des serveurs dont la localisation géographique et les politiques de conservation varient selon le fabricant
- Certains services IoT agrègent les données de plusieurs clients sur une même plateforme cloud, ce qui multiplie les conséquences d’une compromission côté hébergeur
- Les mises à jour firmware sont elles-mêmes téléchargées depuis des serveurs distants, ce qui crée un vecteur d’attaque par la chaîne d’approvisionnement logicielle
La question n’est plus seulement de sécuriser l’objet, mais de cartographier l’ensemble des flux sortants. Une entreprise qui déploie des capteurs connectés sans auditer les services cloud associés accepte un risque qu’elle ne peut ni mesurer ni maîtriser.
Détection par intelligence artificielle : une couche de protection qui crée ses propres questions
Face à la multiplication des appareils et à l’impossibilité de tout surveiller manuellement, l’intelligence artificielle est de plus en plus utilisée pour détecter des comportements anormaux sur les réseaux IoT. Un capteur qui commence à émettre vers une adresse IP inhabituelle, un objet qui génère un volume de trafic anormal : ces signaux peuvent être repérés par des algorithmes d’analyse comportementale.
Les travaux récents soulignent l’intérêt de cette approche, mais aussi une limite structurelle : l’IA de détection devient elle-même une brique supplémentaire à protéger et à gouverner. Un modèle d’IA mal entraîné peut générer des faux positifs en cascade, saturer les équipes de sécurité, ou à l’inverse ignorer des attaques dont le profil ne correspond pas à ses données d’apprentissage.
Les données disponibles ne permettent pas de conclure sur l’efficacité globale de ces systèmes dans des environnements IoT hétérogènes. La promesse est réelle, mais elle suppose un investissement en gouvernance des modèles qui s’ajoute à la charge de gestion du parc d’objets connectés.
Gestion du risque IoT en entreprise : au-delà des bonnes pratiques génériques
Segmenter le réseau, changer les mots de passe par défaut, appliquer les correctifs : ces mesures constituent un socle minimal. Le problème est qu’elles ne répondent pas aux trois angles morts identifiés plus haut (appareils non inventoriés, accès physique, flux cloud non audités).
Une approche plus adaptée au contexte actuel implique plusieurs niveaux d’action :
- Mettre en place une découverte automatisée des dispositifs connectés au réseau, y compris ceux qui n’ont pas été déclarés par les équipes IT
- Intégrer la sécurité physique des objets connectés dans les audits de sûreté, au même titre que les accès aux salles serveurs
- Exiger des fournisseurs IoT une transparence documentée sur les flux de données, la localisation des serveurs et les politiques de rétention
- Évaluer la pertinence d’une couche de détection par IA en fonction de la taille du parc et de la capacité réelle de l’équipe à traiter les alertes générées
La difficulté principale reste la diversité des appareils. Un parc IoT mélange des objets de fabricants différents, avec des protocoles variés (Wi-Fi, Bluetooth, Zigbee, LoRa) et des cycles de vie logiciels très inégaux. Certains dispositifs ne reçoivent plus de mises à jour quelques années après leur mise sur le marché, ce qui les transforme en vulnérabilités permanentes.
Le cadre réglementaire européen commence à intégrer ces enjeux, notamment à travers des exigences de cybersécurité dès la conception pour les produits connectés. Les effets concrets de ces règlements sur le marché restent à observer dans les années qui viennent. Pour les entreprises, l’inventaire exhaustif du parc IoT est aujourd’hui le premier levier de réduction du risque, avant même le déploiement de solutions techniques avancées.
