Entre les capteurs industriels, les caméras de surveillance IP et les imprimantes réseau, le parc d’objets connectés déployé dans les entreprises constitue une surface d’attaque en expansion permanente. Selon IoT Analytics, le nombre d’appareils IoT dans le monde pourrait atteindre 39 milliards d’unités d’ici 2030, avec une croissance annuelle estimée à 14 %. Une part significative de ces équipements fonctionne déjà dans des environnements professionnels, souvent sans supervision de sécurité dédiée.
Vulnérabilités IoT en entreprise : des failles déjà exploitées en conditions réelles
Le risque ne se limite pas aux appareils récemment installés. Une part considérable des failles exploitées en 2026 concerne des équipements déjà en production dans les réseaux IT et OT des entreprises. Certaines de ces vulnérabilités existaient depuis plusieurs années avant d’être transformées en vecteurs d’attaque actifs, y compris sous forme de zero-days.
Le secteur manufacturier illustre bien cette exposition. Le rapport SonicWall relève que ce secteur enregistre le taux d’attaque le plus élevé sur les systèmes de contrôle industriel, malgré une baisse globale des tentatives d’intrusion. Les équipements les plus anciens concentrent le plus de risques, parce que leurs firmwares ne reçoivent plus de correctifs ou parce que leurs protocoles de communication n’intègrent aucun chiffrement natif.
Les imprimantes réseau, les systèmes de contrôle d’accès par badge, les thermostats connectés dans les bâtiments tertiaires partagent un même défaut structurel : ils sont conçus pour fonctionner en continu, avec des identifiants par défaut rarement modifiés après l’installation. Un attaquant qui compromet l’un de ces dispositifs obtient un point d’ancrage discret à l’intérieur du réseau, souvent invisible pour les outils de détection classiques.
Botnets Mirai et Prometei : la militarisation des objets connectés pour des campagnes DDoS
Les données collectées par Kaspersky au deuxième trimestre 2026 confirment une tendance de fond. Les variantes du botnet Mirai restent dominantes parmi les menaces ciblant les appareils IoT. Ce malware, apparu il y a une décennie, continue de recruter des équipements mal protégés pour alimenter des campagnes de déni de service distribué à grande échelle.
En parallèle, un autre botnet, Prometei, gagne du terrain sur des services comme SSH dans plusieurs pays européens. Sa progression indique que les attaquants diversifient leurs cibles et leurs techniques d’infection. L’objectif reste le même : transformer des appareils professionnels en relais d’attaque, sans que leur propriétaire ne le remarque.
Cette militarisation des objets connectés dépasse le simple vol de données. Un thermostat compromis dans un immeuble de bureaux peut devenir un nœud actif dans une attaque DDoS contre une infrastructure critique. L’entreprise victime devient involontairement complice d’une cyberattaque qu’elle subit autant qu’elle la propage.
Cyber Resilience Act et NIS 2 : ce que les nouvelles obligations changent pour les fabricants IoT
Le cadre réglementaire européen se durcit avec deux textes qui modifient directement les responsabilités des fabricants et des exploitants d’objets connectés.
Le Règlement (UE) 2024/2847, dit Cyber Resilience Act, impose à partir du 11 septembre 2026 des obligations concrètes aux fabricants de matériels et logiciels comportant des éléments numériques commercialisés dans l’Union européenne :
- Notification sous 24 heures auprès de l’ENISA dès qu’une vulnérabilité est activement exploitée ou qu’un incident grave est détecté sur un produit.
- Obligation de fournir des mises à jour de sécurité pendant toute la durée de vie prévue du produit, avec un minimum de cinq ans.
- Évaluation de conformité obligatoire avant mise sur le marché, y compris pour les objets connectés professionnels comme les capteurs industriels ou les bornes de recharge.
La directive NIS 2, entrée en application fin 2024, complète ce dispositif côté exploitant. Les entreprises classées comme entités essentielles ou importantes doivent intégrer la sécurité de leurs équipements IoT dans leur analyse de risques globale. La responsabilité ne repose plus uniquement sur l’équipe informatique, mais engage la direction de l’organisation.
Segmentation réseau et supervision IoT : les mesures techniques qui réduisent réellement l’exposition
Face à un parc d’appareils hétérogène, la segmentation réseau reste la mesure la plus efficace pour limiter la propagation d’une compromission. Le principe est simple : isoler les objets connectés sur des sous-réseaux dédiés, distincts des systèmes critiques qui hébergent les données métier.
Les approches qui produisent des résultats mesurables partagent plusieurs caractéristiques :
- Un inventaire automatisé et actualisé de tous les appareils connectés au réseau, y compris ceux ajoutés sans validation de l’équipe sécurité (shadow IoT).
- Une politique de mots de passe unique par appareil, avec rotation imposée, qui élimine le problème des identifiants par défaut laissés en l’état.
- Un système de détection des anomalies comportementales adapté au trafic IoT, capable de repérer qu’un capteur de température envoie soudainement des requêtes vers un serveur externe inconnu.
- Des procédures de mise à jour automatisées pour les firmwares, avec un suivi des équipements en fin de support qui doivent être remplacés.
Les solutions de supervision cloud appliquées aux parcs IoT professionnels gagnent en maturité. Elles permettent de centraliser la visibilité sur des équipements dispersés géographiquement, un enjeu pour les entreprises multisites. Les retours terrain divergent sur ce point : certaines organisations constatent une réduction rapide des incidents après déploiement, tandis que d’autres peinent à couvrir l’ensemble de leur parc faute de compatibilité entre les protocoles.
Le défi principal n’est pas technologique. La majorité des compromissions IoT exploitent des erreurs de configuration, pas des failles sophistiquées. Un appareil correctement segmenté, régulièrement mis à jour et supervisé représente une cible bien moins attractive pour un attaquant que le capteur oublié dans un local technique, connecté au réseau principal avec le mot de passe d’usine.