Les bombes dans nos maisons

L’Internet des objets — des prises électriques intelligentes aux cuisinières commandées par un téléphone — grandit d’une façon exponentielle. Les risques qui y sont associés aussi.

Les estimations varient d’une étude à l’autre, mais environ 15 milliards de ces objets connectés seraient en activité dans le monde, nombre qui pourrait atteindre 25 milliards dès 2021. Ces appareils transforment nos demeures en maisons intelligentes, mais pas seulement. Ils modernisent aussi nos villes, avec des feux de circulation qui tournent au vert à l’arrivée d’une ambulance, et propulsent les industries vers l’avenir, avec des capteurs qui assurent la traçabilité des produits.

En plus de ces avantages, l’Internet des objets présente toutefois un risque de sécurité important. Des réseaux d’objets connectés infectés — des réseaux zombies, connus sous leur appellation anglaise botnet— font des ravages. En 2016, quelque 600 000 objets connectés infectés par le logiciel Mirai ont été employés pour paralyser des sites comme Netflix, Amazon et PayPal.

Ces réseaux sont également utilisés pour créer de fausses interactions sur les médias sociaux, selon une étude publiée l’année dernière par la société de recherche montréalaise GoSecure. Un réseau zombie qui sévit sur Instagram semble anodin, mais de telles attaques doivent être prises au sérieux quand elles surviennent dans un contexte comme celui de l’ingérence russe lors des élections américaines de 2016.

Déjà, 40 % des électroménagers intelligents auraient été infectés par des logiciels malveillants, selon l’entreprise américaine de recherche Gartner. Dans une étude publiée par l’Université de Princeton, aux États-Unis, en 2018, des chercheurs démontrent que des cybercriminels pourraient attaquer des objets à forte consommation énergétique, comme des réfrigérateurs, pour surcharger les réseaux électriques et plonger des régions entières dans le noir. Les bombes de la prochaine guerre n’auront pas besoin d’être lancées : elles sont déjà dans nos maisons.

Les mesures à prendre pour sécuriser le mieux possible l’Internet des objets sont connues, mais les gouvernements commencent à peine à s’activer devant ces dangers. Le Royaume-Uni a publié un code de bonne conduite pour les fabricants, les incitant à doter leurs appareils de mots de passe uniques et à les mettre à jour pendant toute la vie active des appareils. Malheureusement, rien ne les force à adopter ces recommandations. Par ailleurs, une loi californienne, qui entrera en vigueur en 2020, obligera les fabricants d’objets connectés à suivre certaines règles de sécurité informatique, mais la réglementation manque de tonus, se contentant d’exiger des mesures « raisonnables », sans plus de précisions.

Il faudra plus que des mesures volontaires pour faire bouger les choses. Les entreprises doivent suivre des règles strictes pour assurer la sécurité générale à long terme de leurs produits. Il n’y a aucune raison pour qu’il n’en soit pas de même avec la sécurité informatique.

Le Canada joue un rôle mineur dans cette industrie. Une loi pour encadrer la fabrication locale d’objets connectés aurait donc un effet limité sur l’écosystème mondial. Pour vraiment changer les choses avant qu’il soit trop tard, Ottawa pourrait toutefois faire figure de leader en rassemblant les autres pays autour d’une réglementation internationale. Avec des milliards d’objets connectés mis en service tous les ans, le plus tôt sera le mieux.