40.000 caméras de sécurité accessibles par internet

Une étude récente menée par Bitsight TRACE a révélé une problématique alarmante : plus de 40 000 caméras de surveillance, tant HTTP que RTSP (Real-Time Streaming Protocol), sont actuellement accessibles sur Internet sans aucune protection ni mot de passe.

Comment cette découverte a-t-elle été faite ?

Bitsight a procédé à des balayages massifs d'internet pour identifier des flux vidéo disponibles via :

• HTTP : les caméras qui fournissent un flux image statique (instantané) sans authentification ;
• RTSP : les caméras professionnelles offrant un flux vidéo continu sans contrôle d’accès.

Pour les caméras HTTP, les chercheurs ont analysé les URLs typiques et les API des fabricants, testant des requêtes jusqu’à trouver des images libres.

Répartition géographique

Parmi les 40 000 caméras exposées :

• ~14 000 se situent aux États-Unis, suivis de près par le Japon (~7 000), l’Autriche (~2 000), la République tchèque (~2 000) et la Corée du Sud (~2 000) ;
• Aux États-Unis, la Californie et le Texas sont les États les plus concernés.

Figure : Répartition mondiale et par États des caméras exposées (source Bitsight, 10 juin 2025)

Conséquences potentielles heureusement et dangereusement multiples

Bien que certains flux soient délibérément publics (oiseaux, plages…), la majorité représente de graves violations :

• Privée : surveillance de portes d’entrée, salons, chambres, etc. ;
• Entreprise : bureaux, salles de réunion, écrans, tableaux blancs ;
• Industrielle : usines, processus internes, secrets de fabrication ;
• Infrastructures critiques : centres de données, cliniques, transports publics, distributeurs bancaires.

Des discussions ont été repérées sur le dark web, où des acteurs malveillants échangent des outils pour repérer et exploiter ces caméras — certains proposent même des accès à la vente.

Risques de cyberespionnage et criminalité

Les caméras exposées peuvent être instrumentalisées pour :

• espionnage d’espaces sensibles, notamment via mapping de zones non surveillées ou collecte d’informations visuelles ;
• préparation de cambriolages, repérage des routines ou mouvements personnels ;
• observation de données visibles sur écrans ou documents en temps réel ;
• manipulation d’images ou d’informations à des fins de fraude ou chantage ;
• analyse de comportements généraux — fréquentations, périodes creuses, etc. — utile aux voleurs ou aux concurrents.

Le Department of Homeland Security (DHS) américain a déjà alerté sur le potentiel recours à ces caméras pour de l’espionnage sophistiqué, notamment à visée géopolitique.

Chiffres clés (juin 2025)

• 40 000+ caméras exposées (RTSP & HTTP) ;
• 14 000 aux États-Unis, 7 000 au Japon, ~2 000 dans chacun d’Autriche, République tchèque, Corée du Sud ;
• 78,5 % HTTP, 21,5 % RTSP ;
• Des caméras visibles : domiciles, bureaux, centres de données, transports, hôpitaux, usines ;
• Échanges d’outils et de flux sur le dark web.

Recommandations — que faire ?

Pour les particuliers :

• Vérifier l’exposition depuis l’extérieur de votre réseau local — via un VPN, smartphone en data, etc. ;
• Changer les identifiants par défaut, utiliser des mots de passe robustes et uniques ;
• Désactiver l’accès distant si inutile ;
• Mettre à jour le firmware dès qu’un correctif est disponible ;
• Surveiller les journaux et alertes suspectes (connexion depuis une IP extérieure, etc.).

Pour les entreprises et organisations :

• Restreindre l’accès via pare-feu et VPN — privilégier les accès internes ou sécurisés ;
• Mise en place d’alertes de connexion anormale ;
• Segmenter les caméras — zone DMZ, réseau isolé avec accès très limité ;
• Procédures d’audit régulières pour détecter des ports ouverts ;
• Former les administrateurs et sensibiliser le personnel aux vulnérabilités IoT ;
• Consulter régulièrement des rapports (comme celui de Bitsight) pour évaluer sa posture globale sur la surface d’attaque ouverte.

Vers une meilleure cyberhygiène

Cette situation démontre clairement que la simplicité d’installation des caméras connectées — plug‑and‑play, pilotées par des interfaces web ouvertes — peut masquer un défaut de conception dangereux. La responsabilité incombe aussi bien aux fabricants qu’aux utilisateurs.

Du côté fabricant, plusieurs approches sont nécessaires :

• Changer les mots de passe par défaut pour chaque caméra ;
• Exiger la configuration d’un mot de passe avant toute activation ;
• Activer automatiquement les mises à jour sécurisées ;
• Bloquer les accès RTSP/HTTP non chiffrés ;
• Segmenter le protocole de gestion hors du flux vidéo principal.

Du côté de l’utilisateur, la vigilance, la mise à jour et la limitation de l’exposition restent les meilleurs garde-fous.

En résumé

La crise de la vie privée et de la sécurité liée aux caméras mal configurées n’est pas anodine. Avec plus de 40 000 caméras exposées — sans protection, réparties sur des sites résidentiels, industriels ou stratégiques — le constat est alarmant. Il est urgent d’adopter des pratiques solides de configuration et de surveillance pour sécuriser ces dispositifs.

La situation peut encore empirer, car une simple recherche d’IP suffit à quiconque pour repérer ces sources. Si vous suspectez que votre installation est vulnérable, prenez dès aujourd’hui les mesures recommandées.

Source : 40,000 Security Cameras Exposed to Remote Hacking - Security News