Une caméra achetée en grande surface, branchée en cinq minutes, jamais reconfigurée. Le laboratoire d’innovation de la CNIL a retracé ce que devient ce dispositif banal, et le parcours surprend : les mêmes négligences qui exposaient hier les jouets connectés servent aujourd’hui, sur des terrains de conflit, à observer des infrastructures de défense. La faille n’est ni sophistiquée ni nouvelle. C’est un mot de passe d’usine.
Dix ans d’alertes, toujours la même faille
Le sujet n’est pas né avec l’actualité internationale. Dès 2015, l’autorité rappelait que les objets connectés, d’apparence anodine, traitent des données qui ne le sont pas. En 2017, elle sanctionnait un fabricant de poupées auxquelles n’importe qui pouvait se connecter à vingt mètres, sans identification, pour écouter ce qui se disait dans la pièce.
Le scénario se répète en 2026. Un ingénieur qui voulait simplement piloter son aspirateur robot avec une manette de jeu découvre, en analysant les échanges avec les serveurs du fabricant, qu’il accède aux flux vidéo, aux enregistrements audio et aux données de près de 7 000 appareils répartis dans 24 pays. La faille a été corrigée, le symptôme demeure : des dispositifs équipés de caméras et de micros entrent dans les foyers et les entreprises plus vite que les réflexes de sécurisation.
Pourquoi ces caméras intéressent-elles au delà du voisinage ?
Parce qu’elles offrent ce que ni les satellites ni les drones ne fournissent : des vues horizontales, au niveau du sol, sur les entrées de bâtiments, les carrefours, les mouvements de véhicules ou la présence de gardes.
Les cas documentés sont désormais nombreux. En Ukraine, dès 2024, des caméras de surveillance ont été détournées pour observer des infrastructures de défense aérienne. Une étude publiée en mars 2026 recense des centaines de tentatives de piratage de caméras grand public dans plusieurs pays, à des dates qui coïncident avec des frappes, en ciblant des vulnérabilités connues chez deux fabricants très répandus.
Le plus frappant reste la simplicité des attaques. Pas d’arsenal sophistiqué : des mots de passe d’usine jamais modifiés, des logiciels jamais mis à jour, des adresses exposées qui mènent directement à la page de connexion. Cette exposition est cartographiée depuis longtemps par des moteurs de recherche spécialisés dans les objets connectés, qui existent depuis 2009.
Ce qui vaut pour un conflit vaut-il pour votre parking ?
Oui, et la transposition est directe : les dispositifs attaqués sont souvent les mêmes modèles que ceux installés dans les commerces, les bâtiments et les jardins français.
Le glissement à comprendre est celui du fondement. La conformité d’un dispositif de vidéosurveillance est presque toujours abordée sous l’angle de la finalité, de la durée et de l’information des personnes, comme le détaille notre guide sur les règles de conformité applicables aux caméras. Ici, le manquement se situe à l’article 32 : la sécurité du dispositif lui même.
Un flux accessible par un tiers non autorisé constitue une violation de données, quelle que soit la qualité de votre affichage réglementaire. Une caméra parfaitement déclarée, correctement signalée, avec une durée de conservation impeccable, reste non conforme si son mot de passe est resté celui de la notice.
Quelles mesures imposer, et à quel coût ?
Aucune de ces mesures ne demande un budget significatif, ce qui rend leur absence difficile à défendre.
| Mesure | Ce qu’elle empêche | Effort |
|---|---|---|
| Inventorier toutes les caméras et objets connectés | Les dispositifs installés hors validation | Une demi-journée |
| Changer les mots de passe par défaut | L’attaque la plus fréquente | Quelques minutes par appareil |
| Activer les mises à jour automatiques | L’exploitation de failles connues | Paramétrage unique |
| Bannir l’exposition directe sur internet | La découverte par balayage automatisé | Configuration réseau |
| Préférer un circuit fermé quand c’est possible | Toute la classe d’attaques à distance | Choix d’architecture |
| Segmenter le réseau des caméras | Le rebond vers le système d’information | Configuration réseau |
L’inventaire est le premier point et le plus négligé. Dans la plupart des organisations, des caméras et des sonnettes connectées ont été installées par des services opérationnels sans passer par les services techniques. Elles n’apparaissent ni au registre, ni dans le périmètre de sécurité, comme le montre notre analyse sur la robustesse réelle des mots de passe.
La difficulté n’est pas de décider ces mesures, c’est de savoir combien d’appareils existent et lesquels ont été traités. DPO SUITE recense les équipements et les mesures de sécurité rattachées à chaque traitement, ce qui transforme un inventaire ponctuel en état des lieux tenu dans la durée.
Faut-il revoir l’analyse d’impact des dispositifs existants ?
Oui, et c’est le geste le plus utile de la semaine. La plupart des analyses d’impact de vidéosurveillance envisagent le risque d’un accès abusif par un salarié ou d’une conservation excessive. Très peu envisagent le détournement du flux par un tiers extérieur.
Ce risque est désormais documenté, ce qui le rend prévisible au sens du RGPD. Une analyse d’impact qui ne le mentionne pas est incomplète, et son actualisation ne prend que quelques heures. Notre fiche sur l’analyse d’impact appliquée aux caméras de surveillance donne la trame à compléter.
Le point s’applique avec une acuité particulière aux collectivités, dont les dispositifs couvrent l’espace public et dont le nombre de caméras rend l’inventaire réellement long, comme le rappelle notre dossier sur la vidéoprotection dans les collectivités.
La question à poser en comité de direction
Elle tient en une phrase, et elle est plus efficace qu’une note de dix pages : qui, aujourd’hui, peut regarder ce que voient nos caméras ?
Si personne ne sait répondre, l’inventaire devient le premier budget à débloquer. Si quelqu’un répond que seuls les agents habilités le peuvent, la question suivante est : sur quelle vérification technique repose cette affirmation, et de quand date-t-elle ?
FAQ
Une caméra piratée constitue-t-elle une violation de données ?
Oui, dès lors que des images de personnes identifiables ont été accessibles à un tiers non autorisé. La violation existe même sans preuve d’un visionnage effectif, puisqu’elle se caractérise par la perte de confidentialité. Elle doit être qualifiée, inscrite au registre et, selon le risque, notifiée à l’autorité.
Un circuit fermé est-il toujours préférable ?
Il supprime toute une classe d’attaques à distance, ce qui en fait le choix par défaut quand la consultation à distance n’apporte rien. Elle apporte quelque chose dans certains cas, sites multiples, astreinte, levée de doute. Le critère est l’utilité réelle de l’accès distant, pas le confort d’exploitation.
Qui est responsable si le fabricant a laissé une faille ?
Le responsable de traitement reste tenu de la sécurité du dispositif qu’il déploie, y compris du choix du matériel et de sa configuration. Une faille du fabricant peut engager celui-ci par ailleurs, mais elle n’exonère pas l’organisme qui n’a ni changé le mot de passe ni appliqué les mises à jour proposées.
Les sonnettes connectées des particuliers sont-elles concernées ?
Elles relèvent souvent de l’exception domestique quand elles filment strictement la propriété privée. Dès qu’elles captent la voie publique ou l’entrée d’un voisin, cette exception tombe et le RGPD s’applique intégralement. Les mêmes exigences de sécurité valent alors, avec un utilisateur rarement outillé pour les tenir.
Par où commencer avec un parc important ?
Par le balayage de ce qui est exposé sur internet depuis l’extérieur, qui identifie en quelques heures les dispositifs les plus à risque. Traitez d’abord ceux qui répondent depuis le réseau public, puis remontez progressivement vers les caméras internes. Le tri par exposition est plus efficace qu’un tri par site.
