IoT et botnets : la menace invisible des objets connectés

En 2025, Cloudflare a rapporté avoir mitigé des attaques DDoS dépassant les 5,6 Tbps, un record alimenté par des botnets composés d'objets connectés compromis. Caméras IP, routeurs domestiques, NAS, imprimantes réseau : ces appareils que personne ne met à jour sont devenus l'arme favorite des opérateurs de botnets.

L'héritage Mirai : toujours vivant

Mirai, le botnet découvert en 2016 qui avait paralysé Dyn DNS et rendu inaccessible une partie d'Internet (Twitter, Netflix, Reddit), n'a pas disparu. Son code source, publié par son créateur, a engendré des dizaines de variantes toujours actives : Mozi, Gafgyt, Kaiten, BotenaGo. Ces variantes ciblent les mêmes faiblesses fondamentales : identifiants par défaut, ports Telnet/SSH ouverts, firmware sans mises à jour.

Selon les chercheurs de Nozomi Networks, plus de 30% des attaques IoT observées en 2025 utilisent encore des techniques directement dérivées de Mirai.

Les appareils les plus vulnérables

• Caméras IP : identifiants par défaut (admin/admin), firmware rarement mis à jour, protocoles RTSP exposés. Des fabricants comme Hikvision et Dahua ont été régulièrement cités dans des avis de sécurité du CERT-FR

• Routeurs domestiques et PME : vulnérabilités UPnP, interfaces d'administration exposées sur Internet, firmware en fin de support. Les routeurs TP-Link, Netgear et D-Link sont parmi les plus ciblés

• NAS (Synology, QNAP) : exposés directement sur Internet pour l'accès distant, cibles de ransomware spécialisés (Deadbolt sur QNAP en 2022, attaques continues depuis)

• Imprimantes réseau : protocoles d'impression non sécurisés, interfaces web d'administration avec identifiants par défaut

• Dispositifs médicaux : pompes à perfusion, moniteurs patients, IRM : le secteur santé cumule appareils obsolètes et criticité vitale

Botnets DDoS : les records de 2025

L'année 2025 a vu une escalade sans précédent des attaques DDoS :

• 5,6 Tbps mitigés par Cloudflare, la plus grande attaque DDoS documentée publiquement

• Les botnets IoT comptent désormais des centaines de milliers d'appareils compromis

• Les attaques combinent volumétrique (UDP flood) et applicatif (HTTP/2 Rapid Reset, exploitant CVE-2023-44487)

• Le coût d'un botnet DDoS de 100 000 appareils sur le marché noir : environ 500$ par heure d'attaque

Cyber Resilience Act : les obligations des fabricants

Le Cyber Resilience Act (CRA) européen, adopté en 2024 avec une application progressive jusqu'en 2027, impose pour la première fois des obligations de cybersécurité aux fabricants de produits numériques :

• Security by design : pas de mots de passe par défaut, chiffrement des communications, mécanisme de mise à jour sécurisé

• Mises à jour de sécurité obligatoires : pendant toute la durée de vie du produit (minimum 5 ans)

• Notification de vulnérabilité : les fabricants doivent signaler les vulnérabilités activement exploitées à l'ENISA sous 24 heures

• SBOM obligatoire : un Software Bill of Materials doit documenter tous les composants logiciels

• Sanctions : jusqu'à 15 millions d'euros ou 2,5% du CA mondial pour non-conformité

Comment se protéger

En attendant que le CRA produise ses effets, voici les mesures à appliquer dès maintenant :

• Segmentation réseau : isolez les appareils IoT dans un VLAN dédié sans accès au réseau d'entreprise. Un firewall entre le VLAN IoT et le reste du réseau est indispensable

• Inventaire des assets IoT : vous ne pouvez pas protéger ce que vous ne connaissez pas. L'ASM de ThreatClaw avec Shodan détecte les appareils IoT exposés sur vos plages IP

• Changement des identifiants par défaut : systématique, documenté, vérifié

• Désactivation des services inutiles : Telnet, UPnP, administration web si non utilisés

• Monitoring du trafic : un appareil IoT qui communique avec des IPs en Russie ou en Chine à 3h du matin n'est pas normal. ThreatClaw détecte ces anomalies

FAQ

Comment savoir si mes appareils IoT sont compromis ?

Les signes : trafic réseau anormal (volume, destinations), consommation CPU/bande passante élevée, redémarrages inexpliqués, impossibilité de se connecter à l'interface d'administration. Un scan Nmap de vos plages IP internes peut révéler des services ouverts inattendus. ThreatClaw surveille ces indicateurs en continu.

Le CRA va-t-il résoudre le problème ?

Le CRA est un pas majeur mais pas une solution complète. Il ne couvre pas les appareils déjà déployés (des milliards), et son application effective dépendra de l'enforcement par les autorités nationales. Il faudra des années avant que le parc IoT existant soit renouvelé par des appareils conformes.

Mon entreprise est-elle concernée par les botnets IoT ?

Oui, de deux manières : vos propres appareils IoT peuvent être compromis et utilisés dans un botnet (responsabilité potentielle), et vous pouvez être la cible d'attaques DDoS par des botnets IoT. Consultez nos offres pour une évaluation de votre exposition.

Comment segmenter un réseau avec des appareils IoT ?

La solution classique est le VLAN dédié avec un firewall inter-VLAN. Pour les PME, un routeur avec support VLAN (Ubiquiti, MikroTik) suffit. Pour les environnements plus grands, une solution NAC (Network Access Control) comme Cisco ISE ou FortiNAC automatise la segmentation. L'important est que les appareils IoT ne puissent pas initier de connexions vers les postes de travail et serveurs.