Achat d’objets connectés: 5 questions de sécurité à poser à votre fournisseur
Une sonde de température, un ascenseur, une caméra, un boîtier de géolocalisation, une borne de recharge. Ces équipements sont rarement achetés par la direction informatique. Ils sont choisis par les achats, les services généraux, la maintenance ou un chef de projet métier, puis installés et suivis à distance par un prestataire.
C’est précisément là que se joue leur sécurité. Pas dans un laboratoire, mais au moment de l’appel d’offres et de la signature du contrat.
La faille se joue souvent à l’achat
Trois incidents connus, trois secteurs, une même mécanique.
Octobre 2026, grande distribution. Des régulateurs frigorifiques pilotés à distance sont détournés dans plusieurs centaines de supermarchés français. Les éléments publics pointent vers des consoles joignables depuis Internet, des équipements en fin de vie et des correctifs non installés. Nous avons détaillé le cas dans notre analyse de l’attaque Danfoss.
Mars 2021, vidéosurveillance. Un groupe accède aux images d’environ 150 000 caméras Verkada installées dans des entreprises, des hôpitaux et des écoles. Rien n’a été piraté chez les clients. L’accès venait d’un compte d’administration du fournisseur.
Juillet 2022, flottes de véhicules. L’agence américaine CISA publie une alerte sur un traceur GPS MiCODUS très répandu: mot de passe par défaut, possibilité de couper l’alimentation en carburant à distance, pas de correctif disponible à la date de l’alerte.
Aucune de ces attaques n’était sophistiquée. Dans chaque cas, le risque était visible avant l’incident, à condition de poser les bonnes questions et de comprendre les réponses.
Les 5 questions
1. Comment l’équipement communique-t-il, et avec qui?
Carte SIM 4G, Wi-Fi, radio longue portée, Bluetooth, cloud du fabricant. Chaque canal est une porte. Un équipement peut très bien être posé dans vos locaux et ne jamais passer par votre réseau, parce qu’il embarque sa propre carte SIM.
La réponse qui doit alerter: « On ne sait pas exactement », ou une carte SIM sans aucune restriction d’usage.
2. Est-il relié à notre réseau, et comment est-il isolé?
Un équipement technique branché sur le même réseau que la bureautique devient un raccourci vers tout le reste. L’isolement dans un segment dédié est la mesure la plus efficace et la moins coûteuse quand elle est prévue dès l’installation.
La réponse qui doit alerter: un branchement sur le réseau du site « parce que c’était plus simple », sans séparation.
3. Qui peut y accéder à distance, comment, et est-ce tracé?
La télémaintenance est légitime. Elle ne justifie ni un mot de passe par défaut, ni un compte partagé entre tous les techniciens du prestataire, ni une interface d’administration exposée sur Internet. Nous avons consacré un training entier au mot de passe par défaut sur un device IoT, tant le problème reste répandu.
La réponse qui doit alerter: un identifiant identique sur tous les sites, un accès direct par adresse IP publique, aucune trace des connexions.
4. Comment est-il mis à jour, et jusqu’à quand?
Un équipement de bâtiment reste en place dix à quinze ans. La question n’est pas seulement de savoir si des mises à jour existent, mais qui les installe, à quelle fréquence, et à quelle date le fabricant cessera de les fournir. Le Cyber Resilience Act imposera aux fabricants, à partir de décembre 2027, d’annoncer la période de support de leurs produits. Rien ne vous empêche de l’exiger dès aujourd’hui dans vos contrats.
La réponse qui doit alerter: « Il n’y a pas de mise à jour », ou aucune date de fin de support.
5. Que se passe-t-il en cas de panne ou de comportement anormal, et comment le détecte-t-on?
Un équipement compromis ne se signale pas lui-même. Ses propres alarmes ne sont plus fiables. Toute fonction critique (froid, accès, sécurité des personnes) doit être surveillée par un moyen indépendant de l’équipement qui la pilote.
La réponse qui doit alerter: pas d’alerte, pas de mode dégradé, personne de prévenu.
La checklist à emporter
| # | La question | La réponse qui doit alerter |
|---|---|---|
| 1 | Comment communique-t-il, et avec qui? | « On ne sait pas exactement. » SIM sans restriction |
| 2 | Est-il relié à notre réseau? Quelle isolation? | Même réseau que la bureautique |
| 3 | Qui y accède à distance? Est-ce tracé? | Mot de passe par défaut, compte partagé, aucune trace |
| 4 | Comment est-il mis à jour, jusqu’à quand? | Pas de mise à jour, pas de date de fin de support |
| 5 | Que se passe-t-il en cas d’anomalie? | Pas d’alerte indépendante, personne de prévenu |
Une réponse floue est déjà une réponse.
Ce que cette checklist ne fait pas
Soyons clairs sur ses limites. Cinq questions ne remplacent ni un audit, ni un test d’intrusion. Elles reposent sur les déclarations du fournisseur, pas sur un constat. Elles permettent d’écarter les offres les plus fragiles et de savoir où demander des preuves. Pour un équipement qui pilote une fonction critique, la vérification technique reste nécessaire.
Et une sixième question, pour vous
Les personnes qui achètent et qui réceptionnent ces équipements ont-elles le niveau pour comprendre les réponses?
Poser la question de l’isolement réseau est simple. Savoir si la réponse « il est sur un VLAN » suffit, ou reconnaître qu’un « accès sécurisé » désigne en réalité un mot de passe commun à tout le parc, demande un socle de compétences. Ce socle ne fait pas de vous un pentester. Il vous permet de ne pas signer à l’aveugle.
C’est l’objet de la certification DVID IoT Security Foundations: comprendre comment un objet est attaqué pour savoir le choisir, l’intégrer et le recetter. Elle s’adresse aux acheteurs techniques, aux chefs de projet et aux intégrateurs. Elle représente environ 4 jours de travail et se valide par un QCM et une recette sécurité notée, réalisée sur un équipement.
Le détail du parcours est présenté dans notre article Certification sécurité IoT: le nouveau parcours DVID.
Aller plus loin
Découvrir les 7 vulnérabilités IoT les plus courantes
Nous contacter: https://dvid.eu/fr#contact
Suivre notre actualité: https://www.linkedin.com/company/dvid/
Sources
- DVID, Frigos à 50 °C: ce que l’attaque contre les régulateurs Danfoss dit vraiment de la sécurité des objets connectés, 13 octobre 2026
- Bloomberg, mars 2021, sur l’accès aux caméras Verkada
- CISA, avis ICSA-22-200-01, juillet 2022, sur les traceurs MiCODUS MV720