Le jour où des caméras connectées ont mis internet à genoux

En octobre 2016, une partie d’internet s’est arrêtée pendant plusieurs heures. Twitter, Netflix, PayPal, Spotify : des dizaines de services inaccessibles d’un coup, sur toute la côte est des États-Unis. Derrière la panne, aucune attaque d’État ni exploit sophistiqué, seulement quelques centaines de milliers de caméras de surveillance et de box grand public, détournées parce qu’elles avaient gardé leur mot de passe d’usine. Le même oubli, sur une caméra posée dans un chalet de Chamonix, ouvre exactement la même porte.

Un logiciel qui cherchait des portes restées ouvertes

Le logiciel malveillant, baptisé Mirai, ne visait pas des cibles précises. Il scannait en continu l’ensemble d’internet à la recherche d’objets connectés accessibles depuis l’extérieur : caméras IP, enregistreurs vidéo, routeurs. Sur chacun, il essayait une soixantaine de combinaisons identifiant/mot de passe très communes, admin/admin en tête. Un objet sur cinquante répondait encore avec ses réglages d’usine, jamais changés depuis l’installation.

Rassemblés par centaines de milliers, ces appareils ont formé un réseau capable d’envoyer, au même instant, un flot de requêtes suffisant pour saturer les serveurs d’un fournisseur de services essentiel à une bonne partie du web américain.

Le vrai maillon faible n’était pas le réseau

Ce qui frappe, avec le recul, c’est la banalité de la faille. Aucun de ces objets n’a été piraté par une méthode complexe. Ils étaient simplement joignables directement depuis internet, avec un mot de passe que personne n’avait pensé à changer, sur des logiciels internes que personne ne mettait à jour. La sécurité n’avait jamais fait partie du produit, seulement le prix et la facilité d’installation.

C’est une leçon qui dépasse largement l’anecdote de 2016 : un objet connecté n’est pas dangereux parce qu’il est connecté, il devient dangereux quand il reste exposé, sans surveillance, avec des réglages que personne ne contrôle vraiment.

Ce que ça change pour un logement

Transposé chez vous, le principe est simple à énoncer et pourtant rarement appliqué : une caméra, une serrure ou un capteur n’a besoin d’être joignable que par un accès chiffré que vous maîtrisez, jamais par une adresse ouverte à tout le web, comme c’est souvent le cas sans même que le propriétaire le sache.

Dans une installation 100 % locale, la plupart des équipements ne parlent qu’au réseau du logement et ne voient jamais internet. Il n’y a rien à scanner depuis l’extérieur, parce qu’il n’y a rien d’ouvert à trouver. C’est une différence de nature, pas seulement de degré, avec un objet vendu pour se connecter tout seul à un cloud : compte, application, et une porte ouverte sur le monde entier, aujourd’hui comme demain, d’un point de vue cybersécurité. Dix ans après Mirai, l’incident entre OpenAI et Hugging Face a rappelé à quelle échelle une infrastructure partagée peut céder, sans même qu’il faille une intention malveillante.

Soyons justes

Des variantes de Mirai continuent de circuler aujourd’hui, presque dix ans plus tard, preuve qu’aucun système n’est magiquement à l’abri pour toujours. Une installation locale réduit fortement la surface exposée, elle ne supprime pas le besoin de mots de passe uniques, de mises à jour suivies et d’un réseau correctement cloisonné. La différence tient dans la rigueur apportée à la mise en œuvre, pas dans une promesse d’invulnérabilité. En cybersécurité, on part toujours du principe que rien n’est inviolable, seulement ralenti plus ou moins longtemps.

D’autres marques ont payé une rigueur insuffisante plus cher encore, jusqu’à couper purement et simplement leurs serveurs, laissant des logements entiers avec des équipements devenus muets du jour au lendemain.

Comment nous l’appliquons

Chez Velarys, chaque installation part du principe inverse de celui qui a permis Mirai : rien n’est exposé sur internet par défaut, rien n’accède à vos ordinateurs ou téléphones mobiles sans votre accord, les identifiants sont uniques à votre logement, et l’accès à distance, quand vous le souhaitez, passe par une connexion chiffrée que nous configurons spécifiquement. C’est le sens de notre protection du réseau : une rigueur d’entreprise appliquée à votre logement, avant qu’un incident ne la rende nécessaire.