La sécurité des caméras IP vient de connaître un rappel brutal : un seul acteur a pris le contrôle de plus de 14 500 caméras Dahua en 35 jours, en s’appuyant sur des attaques par identifiants et deux anciennes failles de contournement d’authentification. Pour une PME ou une ETI, la vidéosurveillance est rarement dans le périmètre du SOC — et c’est précisément ce qui en fait une porte d’entrée idéale. Cet article explique comment sécuriser vos caméras IP avant qu’elles ne deviennent le point de pivot de votre réseau.
Ce que révèle la campagne CameraSwarm sur la sécurité des caméras IP
Les chercheurs ont documenté une opération baptisée CameraSwarm, menée par un acteur unique sur une période de cinq semaines. Le mode opératoire n’a rien d’exotique, et c’est bien le problème :
- Attaques par identifiants : mots de passe d’usine jamais changés, comptes admin partagés entre sites, réutilisation d’un même secret sur toute la flotte.
- Deux failles de contournement d’authentification anciennes, déjà corrigées par l’éditeur mais présentes sur des firmwares jamais mis à jour depuis l’installation.
- Comptes portes dérobées persistants déposés sur une partie des équipements — la compromission survit alors au changement du mot de passe administrateur.
Ce dernier point est décisif. Une remédiation qui se limite à « on a changé les mots de passe » laisse l’attaquant en place. La sécurité des caméras IP exige de traiter l’équipement comme un serveur Linux exposé, pas comme un accessoire.
Pourquoi les PME-ETI sont surexposées
Trois facteurs se combinent presque systématiquement dans les parcs que nous auditons :
- Le parc vidéo a été installé par un prestataire courant faible, pas par l’équipe IT. Personne ne détient l’inventaire complet.
- Un accès distant a été ouvert « pour la maintenance » — redirection de port sur la box, UPnP actif, ou interface web publiée directement sur Internet.
- Les caméras et le NVR sont sur le même VLAN que la bureautique, ce qui transforme une caméra compromise en tête de pont vers les serveurs de fichiers.
Sécuriser vos caméras IP : les six actions prioritaires
1. Inventorier réellement le parc
Aucune protection n’est possible sans liste exhaustive. Balayez le réseau interne à la recherche des ports 80, 443, 554 (RTSP), 8000 et 37777 (protocole propriétaire Dahua). Croisez le résultat avec les factures du prestataire : l’écart entre les deux est votre première vulnérabilité.
2. Couper toute exposition directe sur Internet
Aucune interface d’administration de caméra ou de NVR ne doit être joignable depuis Internet. Supprimez les redirections de port, désactivez UPnP sur le routeur, et désactivez les services cloud P2P du constructeur s’ils ne sont pas indispensables. L’accès distant légitime passe par VPN, sans exception.
3. Isoler la vidéosurveillance dans un VLAN dédié
Un VLAN caméras, avec une règle de filtrage qui n’autorise que le flux vers le NVR et rien vers la bureautique ni vers l’Active Directory. C’est la mesure qui transforme une compromission en incident circonscrit. La même logique s’applique à tous vos équipements industriels : voir notre article sur la sécurisation du réseau OT.
4. Éradiquer les comptes, pas seulement les mots de passe
Après un doute de compromission, énumérez tous les comptes locaux de chaque équipement et supprimez ceux que vous n’avez pas créés. Si le firmware ne permet pas cette énumération, la seule remédiation fiable reste la réinitialisation d’usine suivie d’une reconfiguration complète.
5. Industrialiser la mise à jour du firmware
Les deux failles exploitées dans CameraSwarm étaient corrigées. Le défaut n’était pas l’absence de correctif mais l’absence de processus. Fixez une fenêtre de patch trimestrielle sur le parc vidéo et exigez contractuellement du prestataire la fourniture des firmwares. Notre article sur la réduction de la fenêtre de patch détaille la méthode.
6. Superviser les caméras comme des actifs
Remontez les journaux du NVR vers votre SIEM et créez des règles simples mais efficaces : création de compte local, authentification réussie hors plage horaire, connexion depuis une adresse IP externe, redémarrage inattendu d’un équipement. Une caméra ne se comporte pas comme un poste de travail — toute déviation est un signal fort.
Détecter une flotte de caméras IP déjà compromise
Quelques indicateurs concrets à rechercher immédiatement :
- Trafic sortant d’une caméra vers une adresse IP publique inconnue, en particulier sur des ports non standard.
- Pics de bande passante montante sans corrélation avec une consultation légitime des flux.
- Comptes présents sur l’équipement mais absents de votre référentiel.
- Équipements dont l’horloge dérive ou dont la configuration revient d’elle-même après modification.
Un simple filtrage sortant par défaut — les caméras n’ont besoin de joindre que le NVR et un serveur NTP interne — supprime la majorité de ces scénarios.
Ce qu’il faut retenir
La sécurité des caméras IP n’est plus un sujet de confort. Une flotte de 14 500 équipements prise en 35 jours par un acteur isolé démontre que l’automatisation a rendu ces cibles rentables à grande échelle. Pour une PME-ETI, la protection tient en trois décisions structurantes : ne rien exposer sur Internet, isoler le parc vidéo dans son propre VLAN, et traiter chaque caméra comme un actif inventorié, patché et supervisé. Ces trois mesures coûtent quelques jours de travail — une compromission de la vidéosurveillance en coûte bien davantage.