La cybersécurité, un impératif pour les systèmes de caméras de surveillance
Une caméra de surveillance doit protéger les biens, enregistrer les incidents et contribuer à un cadre de vie et de travail sûr. Cependant, lorsqu’elle n’est pas suffisamment sécurisée, elle peut, à l’insu de tous, devenir une source d’informations pour les cybercriminels ou des acteurs étatiques. Les révélations concernant l’espionnage numérique via des caméras IP mal sécurisées mettent en évidence un nouveau défi pour le secteur. Ce n’est pas la caméra qui représente le plus grand risque mais la manière dont elle est installée, gérée et entretenue. Pour les installateurs, cela implique un changement fondamental dans leur pratique. Si auparavant l’accent était mis sur la qualité des images, la zone de couverture ou la capacité de stockage, l’architecture réseau, la gestion du firmware et la cybersécurité sont désormais déterminantes. La question n’est plus seulement de savoir si un système fournit des images de qualité mais s’il est résistant aux attaques numériques.
Une cible simple
Les caméras IP font partie des appareils IoT les plus répandus au sein des organisations. Elles surveillent les sites d’entreprises, les centres de distribution, les halls de production, les écoles, les hôpitaux, les commerces et les espaces publics. Pratiquement toutes sont connectées à un réseau informatique et souvent à internet, les utilisateurs pouvant visionner les images en direct et à distance. Cette connexion permanente rend de nombreuses caméras vulnérables, et les pirates n’ont généralement pas besoin de techniques sophistiquées ni de connaissances pointues. Internet fait l’objet d’un balayage automatisé et continu à la recherche d’appareils accessibles via des ports connus. Dès qu’une caméra est détectée, les attaquants tentent de s’y connecter à l’aide de mots de passe par défaut, ou exploitent des failles connues pour lesquelles aucune mise à jour de sécurité n’a été installée. Ce processus est largement automatisé. En quelques minutes, des milliers d’appareils dans le monde peuvent être analysés pour détecter des configurations faibles. Les logiciels nécessaires sont librement accessibles et ne requièrent pratiquement aucune expertise. Le seuil d’exploitation de caméras mal sécurisées est donc particulièrement bas.
De l’image des caméras aux renseignements militaires
L’impact sociétal de ces vulnérabilités a évolué. Alors que les caméras non sécurisées étaient autrefois principalement exploitées par curiosité, pour du vandalisme ou de l’extorsion, elles sont désormais utilisées pour l’espionnage professionnel. Les caméras donnant sur des ports, des ponts, des voies ferrées, des centres de distribution ou des zones industrielles peuvent fournir de l’information sur les processus logistiques, les mouvements de transport et les infrastructures critiques. Grâce à la technologie de reconnaissance d’images, les séquences vidéo sont analysées automatiquement : des logiciels identifient les véhicules, les conteneurs, les plaques d’immatriculation et des objets spécifiques sans qu’une surveillance humaine permanente soit nécessaire. Il en résulte une source d’informations quasi en temps réel qui peut être utilisée pour cartographier des itinéraires logistiques ou mener des observations à long terme. Une caméra apparemment ordinaire peut ainsi devenir une cible stratégique.
Erreurs d’installation classiques
Les analyses disponibles montrent que la plupart des compromissions ne résultent pas de piratages sophistiqués mais de failles de sécurité élémentaires, souvent connues depuis longtemps. Il arrive encore que des caméras soient livrées avec le compte administrateur par défaut activé. Des mots de passe trop simples sont parfois utilisés, ou un même mot de passe est appliqué à des dizaines de caméras au sein d’une organisation. Un autre problème consiste à rendre les caméras accessibles via internet. Certains installateurs optent pour la redirection de port car cette solution est rapide et permet un accès via une application ou un navigateur web. Combinée au protocole Universal Plug and Play (UPnP), elle peut entraîner l’ouverture automatique de ports sur le routeur, sans que les utilisateurs ne mesurent les risques associés.
Du point de vue cybersécurité, cette pratique n’est plus acceptable. Chaque port ouvert augmente la surface d’attaque. Dès qu’une caméra est visible sur internet, elle est détectée par des scanners automatisés.
Utilisez un VPN plutôt que la redirection de port
Pour les installateurs, la responsabilité est importante. Permettre un accès externe à un système de caméras ne signifie pas que celles-ci doivent être exposées sur internet.
Un Virtual Private Network (VPN) constitue une alternative plus sûre. Les utilisateurs établissent d’abord une connexion cryptée avec le réseau de l’entreprise, après quoi les caméras ne sont accessibles que via ce tunnel sécurisé. Le système reste ainsi quasiment invisible pour les pirates.
Bien qu’un VPN nécessite une configuration plus poussée que la redirection de port, cette approche offre un niveau de sécurité supérieur. Les installateurs ont donc tout intérêt à recommander l’accès par VPN comme solution standard, et à ne s’en écarter que dans des cas exceptionnels.
La segmentation du réseau comme principe de base
Un second point d’attention concerne l’emplacement des caméras au sein du réseau. Dans de nombreuses organisations, les caméras IP se trouvent encore dans le même sous-réseau que les systèmes bureautiques, les serveurs et les stations de travail. Lorsqu’une caméra est compromise, elle peut servir de porte d’entrée vers d’autres systèmes de l’entreprise. En plaçant les caméras dans un VLAN distinct ou un segment IoT dédié, ce risque est réduit. Un pirate qui parvient à prendre le contrôle d’une caméra ne peut plus se déplacer latéralement dans le réseau.
Pour les installateurs, cela implique une maîtrise des commutateurs, des configurations VLAN et des règles de pare-feu. La technologie des caméras et la gestion du réseau sont désormais indissociables.
La maintenance du firmware n’est pas une formalité
Un autre problème structurel réside dans l’absence de gestion adéquate des correctifs. Nombre d’organisations considèrent un système de caméras comme un investissement qui, une fois en service, fonctionnera sans problème pendant des années. Si c’est souvent vrai d’un point de vue opérationnel, cette hypothèse est dangereuse sur le plan de la sécurité.
Les fabricants publient des mises à jour de firmware qui corrigent les vulnérabilités. Si ces mises à jour ne sont pas installées, des failles peuvent persister pendant des années. Les cybercriminels connaissent les versions logicielles vulnérables et ciblent leurs analyses en conséquence.
Les installateurs peuvent se démarquer en proposant des contrats de maintenance incluant des vérifications périodiques du firmware. À cet égard, il convient d’accorder une attention particulière aux caméras mais aussi aux enregistreurs réseau (NVR), aux logiciels de gestion vidéo, aux applications mobiles et aux éventuelles connexions au cloud.
La cybersécurité n’est pas une action ponctuelle effectuée lors de l’installation mais un processus continu qui s’étend sur toute la durée de vie du système.
Une authentification forte devrait être la norme
La gestion des accès mérite une attention accrue. Un système de caméras professionnel devrait, par défaut, disposer de mots de passe uniques et complexes, de rôles utilisateurs clairement définis et, si possible, d’une authentification multifactorielle.
Les comptes d’administration doivent être réservés à la configuration et à la maintenance. Des comptes distincts, dotés de droits limités, peuvent être créés pour l’usage quotidien. Cela évite qu’un mot de passe compromis ne donne accès au système de caméras.
Dans la pratique, ces mesures semblent simples à mettre en œuvre mais leur application est loin d’être uniforme.
Au-delà de la technique
L’évolution du secteur montre que le rôle de l’installateur de systèmes de sécurité est en pleine mutation. De technicien exécutant, il devient un conseiller en sécurité digitale. Cela exige des connaissances techniques mais aussi la capacité à sensibiliser les clients aux risques qu’ils ne perçoivent souvent pas.
C’est là que réside le défi majeur pour le secteur. De nos jours, un système de caméras n’est plus un dispositif autonome mais une composante de l’infrastructure digitale d’une organisation. L’installateur du système assume donc également une responsabilité en matière de cybersécurité.
Par Vincent Vreeken
