Points clés
- Un objet connecté devient un point d'entrée dans le SI via trois vecteurs principaux : exploitation d'une vulnérabilité du firmware, utilisation de credentials par défaut ou volés, et compromission de la plateforme cloud de gestion.
- Le mouvement latéral depuis un IoT compromis est facilité par le réseau non segmenté et les protocoles de découverte réseau (mDNS, SSDP, UPnP) que beaucoup d'équipements IoT activent par défaut.
- Les équipements IoT sont des cibles privilégiées car ils combinent haute connectivité réseau, faible niveau de sécurité, et surveillance inexistante — un vecteur d'entrée persistant rarement détecté.
- La chaîne d'attaque IoT typique — initial access via IoT, reconnaissance interne, pivotement vers des actifs à haute valeur — est documentée dans plusieurs incidents majeurs et doit être anticipée dans les modèles de menace.
Vecteur 1 : exploitation de vulnérabilités firmware
Les vulnérabilités du firmware des équipements IoT sont abondamment documentées dans les bases CVE. Une vulnérabilité critique dans un firmware non mis à jour — exécution de code à distance, buffer overflow, injection de commande — permet à un attaquant d'obtenir le contrôle de l'équipement depuis le réseau local ou, si l'équipement est exposé sur Internet, depuis n'importe où dans le monde. L'exploitation ne requiert pas de sophistication particulière : des exploits publics sont disponibles pour la plupart des vulnérabilités CVE critiques des équipements IoT grand public et semi-professionnels. Une fois l'équipement contrôlé, l'attaquant dispose d'un foothold sur le réseau interne depuis lequel il peut initier sa reconnaissance et son mouvement latéral.
Vecteur 2 : credentials par défaut ou volés
L'utilisation de credentials par défaut ou compromis est le vecteur d'entrée le plus simple et le plus fréquemment exploité. Les équipements IoT déployés avec admin/admin ou admin/password sont indexés par Shodan et accessibles en quelques secondes. Les credentials IoT sont également récupérés lors de compromissions de bases de données d'utilisateurs — les listes de credentials IoT circulent activement sur les forums underground. Une fois connecté à l'interface d'administration d'un équipement IoT, l'attaquant peut modifier sa configuration pour l'utiliser comme proxy, télécharger un agent de persistance si le firmware le permet, ou simplement utiliser sa connectivité réseau pour rebondir vers d'autres cibles internes.
Vecteur 3 : compromission de la plateforme cloud
La compromission de la plateforme cloud du fabricant est le vecteur d'attaque à impact de masse le plus significatif. Si l'attaquant obtient un accès administrateur à la plateforme de gestion cloud, il peut potentiellement accéder à tous les équipements de tous les clients gérés depuis cette plateforme — déployer un firmware malveillant, exfiltrer les configurations réseau, ou utiliser les équipements comme têtes de pont dans les réseaux de leurs propriétaires. L'incident Verkada (2021) a démontré ce scénario de manière concrète : un compte super-administrateur compromis a fourni un accès simultané à 150 000 caméras de surveillance dans des centaines d'organisations différentes.
Le mouvement latéral depuis un IoT compromis
Une fois un équipement IoT compromis, l'attaquant cherche à progresser vers des actifs à plus haute valeur. Les protocoles de découverte réseau actifs par défaut sur beaucoup d'équipements IoT — mDNS, SSDP, UPnP — facilitent la cartographie du réseau interne depuis l'équipement compromis sans nécessiter de scan actif susceptible de déclencher des alertes. La progression latérale exploite ensuite les vulnérabilités des équipements voisins, les credentials partagés entre systèmes, ou les partages réseau accessibles depuis le segment IoT. Dans un réseau non segmenté, cette progression peut atteindre des serveurs critiques en quelques heures. La documentation du cas Target (2013) décrit précisément cette chaîne : accès initial via HVAC, reconnaissance interne, atteinte du réseau de paiement.
Anticiper la chaîne d'attaque IoT dans la modélisation des menaces
La défense contre les attaques via IoT commence par leur intégration explicite dans les modèles de menace de l'organisation. Cette intégration identifie les équipements IoT présentant le plus fort potentiel de pivot — ceux ayant le plus d'accès réseau, les vulnérabilités les plus sévères, et la surveillance la plus faible — et priorise les mesures correctives en conséquence. Les contre-mesures combinées — segmentation réseau empêchant le mouvement latéral, monitoring comportemental détectant les scans de reconnaissance, gestion des credentials garantissant l'absence de defaults — forment un ensemble défensif cohérent qui réduit significativement l'exploitabilité des équipements IoT comme vecteurs d'entrée dans le SI.