Vos caméras de vidéosurveillance sont-elles elles-mêmes une porte d'entrée pour un hacker ?

Vous avez fait installer des caméras pour protéger votre commerce ou votre local pro — vitrine, entrepôt, caisse. Six mois plus tard, personne n’a touché à leur configuration : le mot de passe est celui sorti de la boîte, le firmware n’a jamais été mis à jour. L’ANSSI consacre un guide entier à ce sujet — 104 recommandations — et sa position tient en une phrase : une caméra est un système d’information, pas un accessoire. Traitée autrement, elle devient l’inverse de ce pour quoi on l’a installée.

Une caméra est un système d’information, pas un accessoire

C’est la position explicite de l’ANSSI dans son guide Recommandations sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection (ANSSI-PA-72, version 2.2 du 8 avril 2025). Sa recommandation R95 est sans ambiguïté : il est « impératif d’assurer un maintien en condition de sécurité pour les systèmes de contrôle d’accès physique et de vidéoprotection, au même titre que pour tout autre système d’information ».

Le guide explique aussi pourquoi une caméra compromise est un problème qui dépasse la caméra. À l’appui de sa recommandation R16, l’ANSSI note que si les équipements peuvent communiquer librement entre eux sur le réseau, cela « accroît fortement la surface d’attaque de ces dispositifs puisqu’il est alors possible pour un attaquant d’atteindre tous les dispositifs à partir de l’interface réseau d’un de ces équipements ». Une seule caméra suffit donc à servir de point d’appui vers le reste.

Le mot de passe d’usine : la faille la plus banale, et la plus exploitée

Cybermalveillance.gouv.fr le rappelle : les mots de passe générés par défaut par les fabricants sont « généralement trop faibles : trop peu de caractères utilisés, faciles à deviner ou publiquement connus ». Le point important est le dernier — ces identifiants sont documentés publiquement, modèle par modèle. Les tester ne demande aucune compétence particulière, et le faire en masse sur des milliers d’appareils exposés sur Internet ne demande aucune intervention humaine.

C’est exactement le mécanisme du botnet Mirai. L’alerte TA16-288A de la CISA, l’agence américaine de cybersécurité, en donne le détail technique : le programme scanne Internet et teste une courte liste de 62 identifiants et mots de passe par défaut. Cette liste minuscule suffisait à prendre le contrôle de « centaines de milliers d’appareils » — et l’alerte cite nommément les caméras vidéo parmi les équipements concernés. La caméra continue de filmer normalement pendant qu’elle sert, en parallèle, à autre chose.

L’ANSSI répond à ce risque par sa recommandation R52, plus exigeante que le simple « changez le mot de passe » : les mots de passe des caméras « doivent être configurés ou remplacés par des mots de passe spécifiques, robustes et différents pour chaque équipement », avec un processus de renouvellement. Un mot de passe unique partagé par les douze caméras d’un site ne satisfait pas cette recommandation : il suffit d’en compromettre une pour les avoir toutes.

Une vulnérabilité concrète, sur un fabricant très répandu

Ce n’est pas un scénario théorique. En 2021, une vulnérabilité critique référencée CVE-2021-36260 a été identifiée sur des caméras IP Hikvision — une marque très implantée dans les installations commerciales. Elle permet à un attaquant de prendre le contrôle de l’équipement, avec des impacts que l’alerte énumère : espionnage, vol ou destruction de données, indisponibilité du service.

La consigne donnée par Cybermalveillance sur cette alerte vaut bien au-delà du cas Hikvision : si l’accès à distance est nécessaire, « la bonne pratique est de le placer derrière un réseau privé virtuel (VPN) », ce qui « permet de réduire la surface d’attaque et plus précisément de se prémunir contre l’exploitation à distance d’une vulnérabilité produit ». Autrement dit : une caméra ne s’expose pas directement sur Internet par une ouverture de port.

Le firmware jamais mis à jour : la faille silencieuse

Le mot de passe est le premier problème. Le second, plus discret, c’est l’absence de mise à jour du firmware — le logiciel embarqué dans la caméra. Une caméra installée il y a deux ou trois ans, jamais reliée à un outil de supervision, ne reçoit aucun correctif automatiquement. Contrairement à un ordinateur ou un smartphone, rien ne signale qu’une mise à jour existe : elle continue de tourner avec toutes les failles découvertes depuis son installation. Cybermalveillance place ce geste au même rang que le mot de passe — « réalisez les mises à jour de sécurité de vos objets connectés […] dès qu’elles sont disponibles pour éviter que des cybercriminels utilisent des failles de sécurité pour prendre le contrôle de l’objet ».

Ce que recommande concrètement l’ANSSI

Le guide ANSSI-PA-72 compte 104 recommandations. Cinq forment le socle pour une installation de commerce ou de PME :

• R15 — privilégier la connectivité filaire au sans-fil pour les dispositifs de vidéoprotection, le sans-fil augmentant « très significativement l’exposition des dispositifs aux attaques logiques ».
• R52 — des mots de passe spécifiques, robustes et différents pour chaque caméra, avec un processus de renouvellement.
• R10 — cloisonner physiquement le système de vidéoprotection du reste du système d’information. L’ANSSI est ici plus stricte que l’usage courant : elle précise qu’un cloisonnement physique « soit privilégié par rapport à un cloisonnement logique (VLAN par exemple), dont le niveau de robustesse peut être insuffisant dans ce contexte ». Le VLAN est donc un minimum, pas la cible.
• R95 — assurer le maintien en condition de sécurité, c’est-à-dire suivre les versions et appliquer les correctifs, au même titre que pour tout autre système.
• R101 — si l’administration à distance est nécessaire, l’encadrer selon les règles du guide de l’ANSSI sur l’administration sécurisée des SI.

Ce que ces incidents apprennent, même hors vidéoprotection

Le CERT-FR a publié en juin 2024 un retour d’expérience sur les failles des équipements de sécurité. Il porte sur les équipements en bordure de réseau — pare-feux, passerelles VPN et de filtrage — pas sur la vidéoprotection. Ses chiffres méritent quand même d’être connus, parce que la cause est la même : sur 2023 et le début 2024, le CERT-FR a publié 7 alertes et plus de 22 avis de sécurité sur ces équipements, et traité ou suivi « plus d’une centaine d’incidents, dont certains ont engendré la compromission intégrale du système d’information » de la victime.

L’enseignement transférable n’est pas un chiffre, c’est un schéma : un équipement réseau exposé, dont les correctifs ne sont pas suivis et la configuration jamais revue, finit par être le point d’entrée. Une caméra IP coche ces trois cases par défaut.

Ce que ça change pour une installation réelle

Une caméra de vidéosurveillance est un ordinateur connecté, avec un système d’exploitation, des identifiants et des failles qui se découvrent avec le temps. Elle mérite le traitement que l’ANSSI lui prescrit : mot de passe propre à chaque équipement dès l’installation, correctifs suivis, accès distant derrière un VPN, réseau cloisonné. C’est précisément ce que couvre une installation de vidéosurveillance professionnelle chez Cryptonyte : matériel choisi, configuré et maintenu dans la durée — pas posé au mur le jour de l’installation puis oublié.

À retenir

Une caméra IP avec son mot de passe usine et son firmware jamais mis à jour n’est plus un outil de sécurité : c’est un équipement dont les identifiants sont publiquement documentés, testables en masse — 62 couples suffisaient à Mirai — et relié au reste de votre réseau. Les quatre gestes que l’ANSSI place en tête : un mot de passe distinct par caméra, les correctifs suivis, le réseau cloisonné, et aucun accès distant sans VPN.

Sources : ANSSI, « Recommandations sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection » (ANSSI-PA-72, v2.2, 08/04/2025), Cybermalveillance.gouv.fr, « La sécurité des objets connectés (IoT) », Cybermalveillance.gouv.fr, alerte vulnérabilité caméras IP Hikvision (CVE-2021-36260), CISA, alerte TA16-288A « Heightened DDoS Threat Posed by Mirai and Other Botnets », CERT-FR, « Failles sur les équipements de sécurité : retour d’expérience » (12/06/2024).