Caméras de surveillance : la porte d'entrée du hacker ?

Vous avez fait installer des caméras pour protéger votre commerce ou votre local pro — vitrine, entrepôt, caisse. Six mois plus tard, personne n’a touché à leur configuration : le mot de passe est celui sorti de la boîte, le firmware n’a jamais été mis à jour. C’est exactement le scénario que l’ANSSI documente dans son guide de vidéoprotection : l’appareil censé surveiller devient lui-même la faille — parfois pour espionner le local, parfois comme simple relais pour attaquer ailleurs.

Un objet censé protéger, qui devient la menace

L’ANSSI le formule sans détour dans son guide de sécurisation des systèmes de vidéoprotection (ANSSI-PA-72) : les dispositifs de vidéoprotection sont “potentiellement aussi vulnérables que les autres systèmes d’information”, et ces menaces “impactent directement la sécurité des sites que la vidéoprotection est censée préserver”. L’agence identifie trois familles de risques : l’interception des flux vidéo (quelqu’un regarde vos images sans y être autorisé), la mise hors service du dispositif, et — plus insidieux — l’injection de faux flux vidéo qui simule un fonctionnement normal pendant qu’un attaquant agit ailleurs sur le site.

Autrement dit : une caméra mal sécurisée ne protège plus rien. Elle donne l’illusion d’une surveillance active tout en ouvrant une porte que personne ne surveille.

Le mot de passe par défaut : la faille la plus exploitée

La cause numéro un reste la plus banale. Cybermalveillance.gouv.fr le rappelle : les mots de passe générés par défaut par les fabricants sont “généralement trop faibles” et doivent être changés immédiatement par des identifiants complexes. Le problème, c’est que ces couples identifiant/mot de passe par défaut (admin/admin, admin/1234…) sont documentés publiquement, modèle par modèle — n’importe quel outil automatisé peut les tester en masse sur des milliers d’appareils exposés sur Internet, sans intervention humaine.

C’est ce mécanisme précis qui a permis, en 2016, la création du botnet Mirai : le malware scanne Internet à la recherche d’objets connectés (caméras, enregistreurs vidéo, box) et teste une liste d’identifiants usine. Dès qu’une combinaison fonctionne, l’appareil est enrôlé dans un réseau de machines compromises, sans que son propriétaire s’en aperçoive — la caméra continue de filmer normalement pendant qu’elle sert, en parallèle, à autre chose. Mirai a servi à lancer l’une des attaques DDoS les plus massives jamais recensées, contre le fournisseur DNS américain Dyn, en s’appuyant très largement sur des caméras IP et enregistreurs vidéo dont le mot de passe usine n’avait jamais été changé.

Une vulnérabilité concrète, sur un fabricant très répandu

Ce n’est pas un scénario théorique. En 2021, une vulnérabilité critique référencée CVE-2021-36260 a été identifiée sur des caméras IP Hikvision — une marque très implantée dans les installations de vidéosurveillance commerciales. La faille permettait à un attaquant de prendre le contrôle complet de l’équipement, avec un risque explicitement cité par l’alerte : espionnage, vol ou destruction de données, indisponibilité du service, voire rebond vers le reste du réseau. La recommandation de l’ANSSI est directe : ce type de service ne devrait jamais être exposé librement sur Internet — s’il faut y accéder à distance, cela doit passer par un VPN, jamais par une ouverture de port directe.

Ce n’est pas un cas isolé — et l’ordre de grandeur du phénomène est documenté, à condition de dire exactement sur quoi il porte. Le retour d’expérience du CERT-FR recense, pour 2023 et le début de 2024, 7 alertes, plus de 22 avis de sécurité et plus d’une centaine d’incidents traités, dont certains ont conduit à la compromission intégrale du système d’information de la victime. Ce document ne traite pas de vidéoprotection : il porte sur les équipements de sécurité en bordure de réseau — pare-feux, passerelles VPN, passerelles de filtrage. Nous le citons pour le mécanisme, pas pour le périmètre : un équipement exposé sur Internet et laissé sans mise à jour finit par être exploité, et une caméra IP n’a aucune raison d’y échapper.

Le firmware jamais mis à jour : la faille silencieuse

Le mot de passe est le premier problème. Le second, plus discret, c’est l’absence de mise à jour du firmware — le logiciel embarqué dans la caméra elle-même. Une caméra installée il y a deux ou trois ans, jamais reconnectée à un outil de supervision, ne reçoit aucun correctif automatiquement. Contrairement à un ordinateur ou un smartphone, personne ne lui rappelle qu’une mise à jour est disponible : elle continue de tourner, silencieusement, avec toutes les failles découvertes depuis son installation. Cybermalveillance.gouv.fr est clair sur ce point : appliquer les correctifs de sécurité rapidement fait partie des gestes de base, au même titre que le changement de mot de passe.

Ce que recommande concrètement l’ANSSI

Au-delà du mot de passe et de la mise à jour, l’ANSSI recommande une architecture réseau spécifique pour la vidéoprotection : privilégier la connectivité filaire plutôt que le Wi-Fi lorsque c’est possible, et surtout isoler le réseau des caméras du reste du système d’information — physiquement ou, a minima, sur un VLAN dédié. L’objectif est simple : même si une caméra est compromise, l’attaquant ne doit pas pouvoir rebondir vers les postes de travail, la caisse ou les données clients. Une caméra piratée qui reste cloisonnée est un problème contenu. Une caméra piratée connectée au même réseau que tout le reste est une porte ouverte sur l’ensemble de l’entreprise.

La leçon derrière ce scénario

Une caméra de vidéosurveillance n’est pas un simple objet de décoration électronique — c’est un ordinateur connecté à Internet, avec un système d’exploitation, des identifiants, et des failles qui se découvrent avec le temps. Elle mérite exactement le même traitement qu’un serveur ou qu’un poste de travail : mot de passe changé dès l’installation, mises à jour suivies, accès distant limité, réseau isolé. C’est précisément ce que couvre une installation de vidéosurveillance professionnelle chez Cryptonyte : le matériel choisi, configuré et maintenu dans la durée — pas juste posé au mur le jour de l’installation puis oublié.

À retenir

Une caméra IP avec son mot de passe usine et son firmware jamais mis à jour n’est plus un outil de sécurité : c’est une porte d’entrée documentée publiquement, exploitable en masse, et potentiellement reliée au reste de votre réseau. Changer le mot de passe par défaut, suivre les mises à jour, isoler le réseau des caméras et ne jamais exposer l’accès distant sans VPN — ce sont les quatre gestes que l’ANSSI place en tête de ses recommandations.

Source : ANSSI, “Recommandations sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection” (ANSSI-PA-72), Cybermalveillance.gouv.fr, “La sécurité des objets connectés (IoT)”, Cybermalveillance.gouv.fr, alerte vulnérabilité caméras IP Hikvision (CVE-2021-36260), et CERT-FR/ANSSI, retour d’expérience sur les failles des équipements de sécurité en bordure de réseau — pare-feux et passerelles VPN, hors vidéoprotection (juin 2024).