Un babyphone Wi-Fi neuf, sorti de sa boîte, configuré en dix minutes un soir de fatigue post-accouchement. Pas de changement d’identifiant, pas de mot de passe personnalisé : juste le strict nécessaire pour voir bébé dormir depuis le salon. Quelques semaines plus tard, en tapant par curiosité sa propre adresse IP sur un moteur de recherche spécialisé dans les objets connectés, la même image s’affiche à l’écran : la chambre de l’enfant, en direct, accessible à n’importe qui sachant où chercher. Ce scénario n’a rien d’isolé. Il illustre un phénomène documenté depuis plus d’une décennie par les autorités de protection des données.
À retenir
- Des millions de babyphones restent accessibles en ligne simplement parce que leurs mots de passe n’ont jamais été changés
- Un babyphone n’a pas besoin d’être « piraté » : il suffit de connaître son adresse IP pour y accéder
- Trois minutes de configuration suffisent pour transformer un appareil vulnérable en système sécurisé
Le mot de passe d’usine, la faille numéro un
La cause profonde tient en une phrase simple. La méthode la plus courante consiste à exploiter des vulnérabilités intégrées aux systèmes, ou simplement à se connecter avec les mots de passe par défaut fournis avec l’appareil à sa sortie d’usine. Ce défaut de configuration, les experts lui donnent un nom : la négligence numérique. De nombreuses caméras installées dans des espaces publics et de petites entreprises souffrent de ce que les experts appellent la « négligence numérique ». Les utilisateurs, quand ils n’y sont pas obligés, ne changent pas le mot de passe administrateur par défaut réglé en usine, négligent les mises à jour logicielles, ou configurent l’appareil de telle sorte que quiconque connaît son adresse IP peut facilement accéder à la page de connexion. le babyphone n’a pas besoin d’être « piraté » au sens hollywoodien du terme, avec force brute et logiciels d’attaque. Il suffit qu’il reste ouvert, comme une porte d’entrée dont on n’aurait jamais changé la serrure.
Le cas le plus retentissant remonte à 2014, et il ressemble étrangement à l’expérience de tomber sur sa propre caméra en tapant une simple adresse. En 2014, un site Web russe a montré, en direct, des images de maisons et d’entreprises du monde entier à partir d’appareils intelligents protégés uniquement par des mots de passe par défaut. Ce site, resté dans les mémoires des chercheurs en cybersécurité, agrégeait des milliers de flux vidéo simplement parce que leurs propriétaires n’avaient jamais pris la peine de personnaliser leurs identifiants. Quatre ans plus tard, un autre cas a fait grand bruit outre-Atlantique : en 2018, en Caroline du Sud, une mère a remarqué que la caméra de son babyphone était déplacée à distance pour se concentrer là où elle allaitait son fils. Preuve que l’accès non autorisé ne se limite pas à regarder : il permet aussi de piloter l’appareil, zoomer, tourner l’objectif, et parfois même parler à travers le haut-parleur.
Des vulnérabilités qui touchent des millions d’appareils, pas seulement les modèles bas de gamme
On pourrait croire que seuls les babyphones premier prix sont concernés. La réalité est plus large. Des chercheurs en sécurité informatique ont découvert qu’une vulnérabilité se cache dans plus de 80 millions d’objets connectés à travers le monde, concernant des caméras, des enregistreurs numériques, des sonnettes, voire même des babyphones. La faille se logeait dans un kit de développement logiciel partagé par une multitude de fabricants, ce qui signifie qu’un problème découvert sur un modèle peut concerner des dizaines de marques différentes, vendues sous des noms totalement distincts. Un attaquant capable d’exploiter cette faille pouvait récupérer un nom d’utilisateur et un mot de passe unique et aléatoire déterminé par chaque fabricant, ces deux données en main, libre à lui ensuite de contrôler l’appareil à distance.
L’anecdote la plus récente et la plus surprenante ne concerne même pas un babyphone, mais elle éclaire parfaitement le mécanisme. En février 2026, un ingénieur informatique a découvert par hasard qu’il pouvait accéder à des flux vidéo en direct, des enregistrements audio et des données provenant de près de 7 000 aspirateurs connectés dans 24 pays, alors qu’il tentait simplement de développer une application pour piloter le sien avec une manette de jeu vidéo. La faille a depuis été corrigée, mais l’histoire rappelle que n’importe quel objet doté d’un micro ou d’une caméra, même le plus anodin en apparence, peut devenir une fenêtre ouverte sur un intérieur. Les tests indépendants confirment l’ampleur du problème sur les babyphones spécifiquement : une association de consommateurs a recensé pas moins de 55 failles de sécurité potentielles sur 10 babyphones vidéo testés, dont 9 jugées critiques.
Ce qui change concrètement quand on personnalise ses identifiants
La bonne nouvelle, c’est que la parade ne demande ni compétence technique poussée ni budget supplémentaire. La CNIL le rappelle pour l’ensemble des objets connectés destinés aux enfants : il faut vérifier a minima que le jouet ne permet pas à n’importe qui de s’y connecter, changer le paramétrage par défaut (mot de passe, code PIN), sécuriser l’accès à son smartphone et à sa box internet au moyen d’un mot de passe, et effectuer régulièrement les mises à jour de sécurité. Trois minutes suffisent pour changer un mot de passe d’usine par une phrase de passe unique. C’est trois minutes qui séparent une chambre d’enfant privée d’une chambre d’enfant potentiellement consultable par un inconnu à l’autre bout du monde.
Concrètement, quelques réflexes limitent presque tous les scénarios de fuite documentés : changer immédiatement l’identifiant et le mot de passe fournis en usine, désactiver l’accès à distance quand il n’est pas utilisé, activer la double authentification si l’application le propose, et isoler l’appareil sur un réseau Wi-Fi invité séparé de celui des ordinateurs et smartphones du foyer. Cette dernière précaution limite les dégâts même en cas de compromission : si la caméra est piratée, elle ne sert pas de porte d’entrée vers le reste du réseau domestique. Les fabricants ont d’ailleurs pris conscience du problème depuis les scandales des années 2010 : depuis, la plupart des fabricants exigent une réinitialisation du mot de passe dès la première utilisation, ce qui réduit mécaniquement le nombre d’appareils laissés avec leurs réglages d’origine.
Reste un détail que peu de parents vérifient avant l’achat : la politique de mise à jour du fabricant. Un appareil abandonné après six mois sur le marché, sans correctif logiciel, reste vulnérable indéfiniment, même si son propriétaire a changé le mot de passe le premier jour. Avant de craquer pour le babyphone le moins cher du rayon, un coup d’œil à la fréquence des mises à jour publiées par la marque en dit souvent plus long que n’importe quelle fiche technique.
Sources : phonandroid.com | meilleur-camera-surveillance.fr