Objet connecté compromis
En clair
Une ampoule, une prise, un thermostat ou un jouet connecté n'a ni écran ni notification : s'il est compromis, rien ne vous le dira. Il continue de fonctionner normalement.
Ce que cherche l'attaquant : prendre le contrôle d'un appareil.
Définition
Un objet connecté compromis est un appareil domestique relié au réseau — éclairage, prise, thermostat, électroménager, jouet — dont un tiers a pris le contrôle, généralement par un identifiant d'usine ou un défaut logiciel non corrigé.
À ne pas confondre avec
| Objet connecté compromis | Caméra de surveillance piratée |
|---|---|
| Un appareil connecté sans écran — ampoule, prise, thermostat, jouet — dont un tiers a pris le contrôle sans que rien ne le signale. | Une caméra de vidéosurveillance dont un tiers a obtenu l'accès : c'est l'intérieur de votre domicile qui est exposé. |
Ce qui les distingue : La porte d'entrée est souvent la même, un identifiant d'usine ; ce qui change, c'est ce que l'intrus obtient : des images de chez vous avec la caméra, le contrôle d'un appareil avec les autres objets.
| Objet connecté compromis | Box ou routeur compromis |
|---|---|
| Un seul appareil du foyer, dont un tiers a pris le contrôle. | L'équipement par lequel passe tout le trafic du foyer : compromis, il peut orienter ou observer celui de chaque appareil. |
Ce qui les distingue : Un objet compromis, c'est un appareil perdu ; une box compromise met en cause tous les appareils de la maison, sans que rien ne soit installé sur eux.
Toutes les attaques qu'on confond, côte à côte : le comparateur « X ou Y ? »
Comment ça fonctionne
Ces objets sont vendus à bas prix, conçus pour être simples à installer, et rarement mis à jour après l'achat — parfois plus du tout une fois le modèle retiré de la vente. Beaucoup partagent le même identifiant d'administration d'usine pour toute une gamme, information publique puisqu'elle figure dans la notice. L'objet, lui, reste allumé en permanence et connecté au même réseau que l'ordinateur et le téléphone. Ce qui en fait une cible n'est pas sa valeur propre — personne ne veut vos ampoules — mais sa position : il offre un point d'appui à l'intérieur du réseau domestique, et une capacité de calcul mobilisable à distance dans un ensemble d'appareils asservis.
Pourquoi ça marche
Un objet sans écran ne peut rien signaler, et il continue de faire ce qu'on attend de lui. On le branche, on garde le mot de passe d'usine, et on ne le met jamais à jour.
Sur quoi cette attaque s'appuie
Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.
Signaux d'alerte
- Objet fonctionnant de manière inattendue : allumage, mouvement, son sans commande
- Identifiants d'administration jamais modifiés depuis l'installation
- Appareil dont le fabricant ne publie plus de mises à jour
- Trafic réseau ou consommation de données inhabituels à la maison
- Appareil inconnu apparaissant dans la liste des équipements du routeur
Exemple
Exemple fictif — aucune organisation ni adresse réelle
Liste des appareils connectés, affichée dans l'interface de la box.
Appareils connectés : 11 • ordinateur-salon • telephone-anna • prise-connectee-cuisine • ESP-4F2A (inconnu) • …
Ce qui le trahit
- Un appareil au nom technique ne correspond à rien que vous ayez installé.
- Le nombre d'appareils dépasse ce que vous possédez.
- La prise connectée a toujours son mot de passe d'usine.
Comment vérifier
Ouvrez l'interface de votre box ou de votre routeur et regardez la liste des appareils connectés : elle doit correspondre à ce que vous possédez réellement. Pour chaque objet, vérifiez que le mot de passe d'usine a été changé et que le micrologiciel est à jour.
Les questions à se poser, dans l'ordre
La liste des appareils de la box contient-elle un équipement que vous ne reconnaissez pas ?
Si oui : Bloquez-le dans la box et changez la clé du Wi-Fi.
Un objet garde-t-il son mot de passe d'usine ou n'est-il plus mis à jour ?
Si oui : Changez le mot de passe, ou remplacez l'objet si le fabricant ne le suit plus.
Un objet s'allume, bouge ou émet un son sans commande ?
Si oui : Débranchez-le, réinitialisez-le et mettez-le à jour avant de le reconnecter.
Que faire
Changez le mot de passe d'usine dès l'installation, activez les mises à jour automatiques quand elles existent, et n'exposez pas l'objet directement sur internet. Si votre box le permet, placez ces appareils sur un réseau invité, séparé de celui des ordinateurs et téléphones — c'est la mesure qui limite le mieux les conséquences.
Si c'est déjà arrivé
Déconnectez l'objet du réseau, réinitialisez-le, mettez-le à jour et changez son mot de passe avant de le rebrancher. Vérifiez ensuite les autres appareils du foyer et le routeur lui-même, dont la configuration a pu être modifiée.
Pour que ça ne se reproduise pas
- Changez le mot de passe d'usine dès l'installation.
- Placez les objets connectés sur un réseau invité.
- Choisissez des objets dont le fabricant publie des mises à jour.
Testez-vous sur une attaque voisine
Pas de simulation pour cette attaque-ci. Celle-ci en est proche : L'application de votre caméra de surveillance signale une connexion depuis un appareil inconnu.
Simulation : Caméra de surveillance piratéeQuestions fréquentes
- Pourquoi s'attaquer à une ampoule connectée ?
- Pas pour l'ampoule. Pour la place qu'elle occupe : à l'intérieur de votre réseau, allumée en permanence, et rarement surveillée. Elle sert de point d'appui, ou de capacité de calcul dans un ensemble d'appareils pilotés à distance.
- Que faire d'un objet dont le fabricant ne publie plus de mises à jour ?
- Isolez-le sur un réseau invité si votre box le permet, et acceptez de le remplacer s'il occupe une fonction sensible comme une caméra ou une serrure. Un appareil qui ne reçoit plus de correctifs conserve indéfiniment les défauts découverts après son abandon.
Attaques liées
Sources officielles
Aussi appelée : IoT compromis, objet connecté piraté, domotique compromise.
Cette fiche fait partie de la famille Téléphones et objets connectés. Mise à jour : 2026-09-03.