« Je pensais que personne ne s’intéressait à mes vidéos » : pourquoi un mot de passe déjà fuité ouvre le flux live de votre salon en quelques secondes

« Je pensais que personne ne s’intéressait à mes vidéos. » C’est la phrase que répètent, hébétés, les propriétaires de caméras connectées qui découvrent que leur salon, leur cuisine ou la chambre de leur bébé s’affichait tranquillement sur l’écran d’un inconnu. La réponse tient en une poignée de secondes et un fichier texte : un mot de passe déjà fuité ailleurs, testé automatiquement par des robots, qui ouvre la porte du flux vidéo sans effort ni compétence particulière de l’attaquant.

Le mythe du « je n’ai rien d’intéressant »

L’erreur de raisonnement est humaine, mais elle ignore l’échelle industrielle du piratage moderne. Personne ne cible votre caméra en particulier : des scripts automatisés balayent des millions d’adresses IP en testant des combinaisons identifiant/mot de passe issues d’anciennes fuites, sans distinction entre une PME et le baby-phone du voisin. Les chiffres donnent le vertige : il existe aujourd’hui plus de 24 milliards de paires d’identifiants volés qui circulent dans des bases de données clandestines, soit environ trois combinaisons identifiant-mot de passe pour chaque être humain sur Terre. Et ces identifiants ne dorment pas dans un coin : les attaquants testent ces identifiants contre des sites web, des applications bancaires, des comptes e-mail et des systèmes professionnels à un rythme de 26 milliards de tentatives par mois dans le monde.

Ce mécanisme a un nom, le credential stuffing, et il est devenu la méthode d’intrusion la plus rentable qui soit. Les identifiants volés ont été à l’origine de 22 % de toutes les violations de données confirmées en 2025, faisant des attaques basées sur les identifiants le vecteur d’accès initial le plus courant tous secteurs confondus. Ce qui rend le phénomène redoutable, c’est son accessibilité : des plateformes comme OpenBullet 2 et SentryMBA ont abaissé la barrière à l’entrée, permettant à des opérateurs avec des compétences techniques minimales de lancer des campagnes contre des milliers de cibles. Nul besoin d’être un génie du code pour pointer un de ces outils vers l’adresse IP de votre caméra domestique.

Pourquoi les caméras sont des cibles particulièrement faciles

Les objets connectés cumulent les mauvaises pratiques que les experts en sécurité dénoncent depuis des années. D’abord, le mot de passe par défaut, jamais changé à l’installation. Une étude menée sur des serveurs leurres a listé les sésames les plus utilisés par les pirates : sans surprise, le mot de passe le plus courant dans le milieu du piratage informatique est « admin », suivi de près par « default », « 123456 » et « root ». Plus troublant encore, certains identifiants d’usine spécifiques à la vidéosurveillance apparaissent dans le classement : « vivx » est le mot de passe défini par défaut sur l’ensemble des systèmes de vidéosurveillance fournis par le géant chinois Dahua, et de nombreux administrateurs ne modifient jamais l’identifiant initial de leurs appareils.

Ensuite, il y a la réutilisation de mots de passe entre services. Vous avez peut-être choisi un mot de passe robuste pour votre caméra… mais identique à celui d’un forum piraté en 2019. Les autorités de protection des données le confirment sans détour : les appareils connectés à Internet munis d’une caméra, qu’il s’agisse de moniteurs pour bébé, d’ordinateurs portables ou de systèmes de sécurité résidentiels, peuvent facilement être piratés de manière à permettre à des inconnus de visionner des images de moments privés. La bonne nouvelle, c’est que le remède est simple : la modification du mot de passe par défaut peut réduire le risque que quelqu’un se serve de votre caméra pour vous surveiller.

Le résultat de cette négligence collective se retrouve noir sur blanc sur des marchés parallèles. Des milliers de caméras de surveillance domestique sont piratées chaque année et leurs flux vidéo revendus sur le Dark Web, les mots de passe faibles et les failles logicielles en étant la cause principale. Ces flux ne restent pas confinés à un cercle d’initiés isolés : sur le Dark Web, les flux de caméras compromises s’échangent comme une marchandise, transformant l’outil de protection en une intrusion massive dans la vie privée.

Vérifier son exposition, sans tomber dans la paranoïa

Impossible pour un particulier de fouiller lui-même les forums clandestins où circulent ces flux, l’anonymat y étant la règle. Mais des méthodes indirectes existent pour évaluer son niveau de risque. La première étape consiste à vérifier si ses identifiants personnels ont fuité, via des services comme Have I Been Pwned, qui permettent de savoir si une adresse e-mail a été compromise lors d’une fuite de données massive. Des outils équivalents existent chez les éditeurs d’antivirus grand public : un service comme Avast Hack Check permet de déterminer si une adresse e-mail ou un compte a fait partie d’une fuite de données, sachant qu’un pirate en possession de ces identifiants peut se faufiler dans les comptes personnels ou les appareils.

Cette prudence n’a rien d’excessif à l’échelle de la France. Le coût économique de ces attaques a explosé récemment : le coût annuel des cyberattaques en France a explosé en 2024, évalué désormais à plus de 100 milliards d’euros. Et l’ampleur de certaines campagnes de credential stuffing donne une idée du volume à traiter côté défense : DataDome a détecté en 2024 une attaque de credential stuffing consistant en 5,7 millions de requêtes en deux jours, provenant de 250 000 adresses IP réparties dans 8 000 réseaux et 215 pays.

Concrètement, quelques réflexes suffisent à sortir du lot des cibles faciles :

• Changer le mot de passe par défaut dès l’installation, et ne jamais le réutiliser ailleurs
• Vérifier sur un service de type Have I Been Pwned si son adresse e-mail associée à la caméra a déjà fuité
• Consulter régulièrement les journaux de connexion de l’appareil pour repérer une adresse IP suspecte
• Désactiver l’accès distant ou les fonctionnalités superflues quand elles ne servent à rien au quotidien

Le détail qui change tout : un mot de passe fuité en 2019 sur un site de e-commerce oublié depuis longtemps peut encore, sept ans plus tard, ouvrir la porte d’une caméra installée hier. Les bases de données d’identifiants volés ne s’effacent jamais, elles s’agrègent, se revendent et grossissent, ce qui explique pourquoi une négligence ancienne continue de produire des dégâts bien après qu’on l’a oubliée.

Sources : priv.gc.ca | futura-sciences.com