Wi-Fi invités, imprimantes, caméras : quelles portes d'entrée personne ne surveille ?
Ce sont de petits ordinateurs que personne ne met à jour : la borne Wi-Fi des visiteurs, le copieur multifonction, les caméras et leur enregistreur. Ils gardent souvent leur mot de passe d'usine et partagent le même réseau que vos PC. Il faut les inventorier, changer leurs mots de passe, les mettre à jour et isoler les visiteurs sur un réseau à part. Pour les caméras, la loi caméras impose en plus une déclaration sur declarationcamera.be.
Le scénario en bref
Exemple, inventé pour illustrer. Une PME fictive de vingt-cinq personnes. Un seul réseau Wi-Fi, dont le mot de passe est affiché à l'accueil pour les visiteurs. Un copieur multifonction loué, installé par le fournisseur, qui envoie les scans par mail. Quatre caméras posées par l'électricien, avec un enregistreur que le gérant consulte depuis son téléphone.
Personne n'a commis de faute, et tout fonctionne. Mais un visiteur assis dans la salle d'attente est sur le même réseau que la comptabilité. Le copieur a encore son mot de passe d'administration d'usine. Et l'enregistreur des caméras est joignable depuis Internet, parce qu'on l'a « ouvert » pour l'application du téléphone.
| Appareil | Ce qu'on croit | Ce qui se passe souvent |
|---|---|---|
| Wi-Fi des visiteurs | « Il a un mot de passe, donc il est protégé » | Le visiteur voit les PC, le copieur et les dossiers partagés |
| Copieur multifonction | « C'est une machine à photocopier » | C'est un ordinateur, avec un disque, un site d'administration et un compte mail |
| Caméras et enregistreur | « C'est de la sécurité » | Mot de passe d'usine, jamais mis à jour, visible depuis Internet |
Pourquoi ces appareils sont des portes d'entrée
Une borne Wi-Fi, un copieur ou une caméra sont de petits ordinateurs. Ils ont un logiciel interne (le « micrologiciel », ou firmware) qui a des failles, comme tout logiciel. La différence avec vos PC : personne ne les met à jour, personne ne regarde qui s'y connecte, et ils restent allumés jour et nuit.
Le danger le plus connu est le mot de passe d'usine. Il est souvent le même pour tous les appareils d'un modèle et figure dans le mode d'emploi. En 2016, le virus Mirai a pris le contrôle de routeurs, de caméras et d'enregistreurs vidéo en essayant une courte liste de 62 noms d'utilisateur et mots de passe par défaut, selon l'agence américaine de cybersécurité (CISA). Les appareils piratés ont ensuite servi à une attaque de plus de 620 gigabits par seconde contre un site d'information.
Les imprimantes ne sont pas en reste. En mai 2023, l'agence américaine de cybersécurité (CISA) et la police fédérale américaine (FBI) ont signalé l'exploitation d'une faille critique dans PaperCut, un logiciel de gestion d'impression, et demandé d'installer « immédiatement » le correctif. Un groupe de rançongiciel (un logiciel qui chiffre vos fichiers et réclame une rançon) s'en est servi pour entrer dans des réseaux d'établissements d'enseignement.
Le Wi-Fi des visiteurs : séparer, pas seulement mettre un mot de passe
Un mot de passe Wi-Fi empêche le voisin de se connecter. Il ne dit rien de ce que voit la personne une fois connectée. Si le Wi-Fi des visiteurs et celui du personnel forment un seul réseau, le fournisseur de passage, le stagiaire ou le patient en salle d'attente sont « dans le bureau », informatiquement parlant.
La solution s'appelle un réseau invités isolé : un deuxième réseau Wi-Fi qui donne accès à Internet et à rien d'autre. Techniquement, on le place dans un compartiment séparé du réseau (un « VLAN »), et le pare-feu, le filtre entre les réseaux, bloque tout passage vers vos PC et vos appareils.
Les réglages à vérifier
- Un réseau invités distinct, avec un mot de passe fort et différent de celui du personnel.
- Un chiffrement récent : WPA2 au minimum, WPA3 si vos appareils le permettent.
- Le mot de passe d'administration du pare-feu et de la borne Wi-Fi changé dès l'installation, puis régulièrement. Attention : ce n'est pas le mot de passe Wi-Fi, c'est celui qui permet de modifier les réglages.
- Un nom de réseau neutre, qui ne contient ni le nom ni l'adresse de l'entreprise.
- Un coup d'œil aux appareils connectés : un appareil inconnu dans la liste de la borne, c'est le signal pour changer le mot de passe Wi-Fi.
Le test qui ne trompe pas : connectez votre téléphone au Wi-Fi des visiteurs et essayez d'imprimer sur le copieur du bureau, ou d'ouvrir un dossier partagé. Si ça marche, le réseau invités n'est pas isolé.
Le copieur multifonction : un ordinateur qu'on oublie
Un copieur moderne a un site d'administration accessible depuis le réseau, souvent protégé par un mot de passe d'usine. Il utilise un compte mail pour envoyer les scans, et garde parfois le mot de passe de ce compte. Beaucoup ont aussi un disque dur interne, qui peut contenir des copies des documents numérisés et imprimés.
- Changer le mot de passe d'administration du copieur, et le ranger dans votre coffre de mots de passe, pas sur un post-it.
- Demander les mises à jour du micrologiciel au fournisseur, et les inscrire dans le contrat de maintenance.
- Désactiver les fonctions inutiles : impression depuis Internet, partage de dossiers, protocoles anciens.
- Prévoir l'effacement du disque à la fin de la location. L'Autorité de protection des données cite la fin du contrat de location d'une imprimante multifonction parmi les cas où les supports doivent être effacés ou détruits, et demande que le contrat le prévoie quand le matériel ne vous appartient pas.
Le piège : laisser le fournisseur repartir avec l'ancien copieur sans document qui atteste l'effacement. Fiches de paie, contrats et courriers scannés pendant des années peuvent partir avec lui.
Les caméras : une question de sécurité et de loi
Une caméra mal protégée peut filmer pour quelqu'un d'autre. Les gestes de base : remplacer le mot de passe d'usine par un mot de passe long et propre à chaque appareil, installer les mises à jour, et ne jamais réutiliser le même mot de passe d'un appareil à l'autre.
Le point le plus souvent oublié est l'accès à distance. Pour voir les images sur le téléphone, l'installateur « ouvre » parfois l'enregistreur sur Internet. Il devient alors visible par n'importe qui, et attaquable jour et nuit. Préférez l'application officielle du fabricant, tenue à jour, ou une connexion sécurisée vers le bureau (un VPN, c'est-à-dire un tunnel chiffré), et demandez à votre informaticien de vérifier qu'aucun appareil n'est exposé directement.
Ce que la loi belge impose
La loi caméras du 21 mars 2007 s'applique dès que vous filmez pour surveiller un lieu. Selon BeSafe, le site du SPF Intérieur, une entreprise doit respecter les règles suivantes.
| Obligation | Ce qu'il faut faire | Quand |
|---|---|---|
| Déclaration | Déclarer les caméras à la police sur www.declarationcamera.be | Au plus tard la veille de la mise en service, puis à chaque changement et une validation chaque année |
| Pictogramme | Apposer le pictogramme légal à l'entrée du lieu filmé | Dès la mise en service |
| Registre | Tenir un registre écrit des activités de traitement d'images | En permanence, à montrer à l'APD ou à la police sur demande |
| Conservation | Effacer les images qui ne servent pas de preuve | Au plus tard après un mois (trois mois pour certains lieux à risque) |
Si les caméras filment aussi vos employés, la convention collective de travail n° 68 s'ajoute dans le secteur privé : quatre finalités seulement sont permises, et le personnel doit être informé de la finalité de la surveillance.
Faire l'inventaire : tout ce qui est branché chez vous
On ne protège pas ce qu'on ne connaît pas. La première étape est une liste simple, tenue à jour, que vous ou votre informaticien remplissez en une heure.
| Appareil | Emplacement | Installé par | Mot de passe d'usine changé ? | Dernière mise à jour | Réseau |
|---|---|---|---|---|---|
| Borne Wi-Fi | Couloir | Fournisseur Internet | Oui | Mars | Personnel et invités mélangés |
| Copieur multifonction | Accueil | Société de location | Non | Inconnue | Personnel |
| Enregistreur des caméras | Local technique | Électricien | Non | Jamais | Personnel, ouvert sur Internet |
Ce tableau est un exemple : chaque case « Non », « Inconnue », « Jamais » ou « mélangés » est une tâche. Pensez aussi aux appareils qu'on ne voit plus : écran de la salle de réunion, thermostat connecté, badgeuse, alarme, sonnette vidéo.
Ce qui change à l'achat avec le Cyber Resilience Act
Le règlement européen sur la cyberrésilience (Cyber Resilience Act) impose aux fabricants que leurs produits connectés soient conçus, mis à jour et maintenus de façon sûre. Selon la Commission européenne, il est en vigueur depuis le 10 décembre 2024. Les obligations de signalement s'appliquent depuis le 11 septembre 2026, et les obligations principales s'appliqueront à partir du 11 décembre 2027.
D'ici là, une question simple à poser avant chaque achat : pendant combien d'années le fabricant fournira-t-il des mises à jour de sécurité ?
À faire lundi matin
- Lister tous les appareils branchés au réseau, avec le tableau ci-dessus.
- Changer chaque mot de passe d'usine encore en place : borne Wi-Fi, pare-feu, copieur, enregistreur des caméras.
- Créer ou vérifier le réseau invités isolé, puis faire le test du téléphone qui essaie d'imprimer.
- Vérifier qu'aucun appareil n'est ouvert directement sur Internet, en commençant par l'enregistreur des caméras.
- Activer les mises à jour automatiques quand elles existent ; sinon, un rappel mensuel.
- Vérifier la déclaration de vos caméras sur declarationcamera.be, le pictogramme et le registre.
- Relire le contrat du copieur : mises à jour comprises, effacement du disque en fin de location.
Aucun de ces gestes ne demande d'acheter du matériel. Ils demandent surtout de savoir ce qui est branché, et de décider qui s'en occupe.
Faire l'inventaire de vos appareils→
Questions fréquentes
Un mot de passe sur le Wi-Fi des visiteurs ne suffit-il pas ?
Non. Le mot de passe empêche les inconnus de se connecter, mais une fois connecté, un visiteur voit tout ce qui est sur le même réseau : PC, copieur, dossiers partagés. Il faut un réseau invités isolé, qui donne accès à Internet et à rien d'autre.
Comment savoir si mon réseau invités est vraiment isolé ?
Connectez un téléphone au Wi-Fi des visiteurs et essayez d'imprimer sur le copieur du bureau ou d'ouvrir un dossier partagé. Si l'un ou l'autre fonctionne, le réseau n'est pas isolé et le pare-feu doit être réglé pour bloquer ces passages.
Faut-il déclarer les caméras de l'entreprise ?
Oui. La loi caméras impose de les déclarer à la police sur www.declarationcamera.be au plus tard la veille de leur mise en service, de valider la déclaration chaque année, d'apposer le pictogramme légal et de tenir un registre. Les images qui ne servent pas de preuve doivent être effacées au plus tard après un mois, sauf dans certains lieux à risque.
Que faire du disque dur du copieur à la fin de la location ?
Exiger son effacement ou sa destruction, avec une attestation. L'Autorité de protection des données cite la fin de location d'une imprimante multifonction parmi les cas où les données doivent être effacées, et demande que le contrat le prévoie quand le matériel ne vous appartient pas.
Comment regarder mes caméras à distance sans risque ?
Évitez d'ouvrir l'enregistreur directement sur Internet. Passez par l'application officielle du fabricant tenue à jour, ou par une connexion sécurisée vers le réseau du bureau (VPN). Changez le mot de passe d'usine et installez les mises à jour dès qu'elles sortent.