LuxHawk.lu (+352) 27 52 67 45

← Retour aux connaissances

Les caméras de l’immeuble contre l’immeuble

Bâtiment et copropriété 11 min Auteur : Arnaud Colin Mis à jour : 19/09/2026

Résumé

Une caméra ou un portier vidéo est un ordinateur relié au réseau : livré avec un mot de passe d’usine et jamais mis à jour, il peut servir à attaquer des tiers (Mirai, Hikvision), accepter un compte caché qui survit à la réinitialisation d’usine (Dahua) ou être regardé à travers le fournisseur en nuage (Verkada). Le syndicat des copropriétaires reste responsable des images des parties communes et le syndic en est le sous-traitant. Mots de passe uniques, aucune exposition directe à Internet, inventaire et mises à jour confiés à un responsable nommé dans le contrat du prestataire : ce sont les gestes qui ressortent des quatre affaires.

Pour qui filment les caméras du hall ?

Caméra dans le hall, enregistreur dans le local technique, portier vidéo à l’entrée du parking : ces équipements sont devenus ordinaires dans les résidences et les immeubles de bureaux. Ce sont aussi de petits ordinateurs reliés au réseau, livrés avec un mot de passe d’usine, dotés d’un serveur web et rarement mis à jour après la réception du chantier.

Quatre affaires documentées entre 2016 et 2026 montrent ce que cela implique. Dans deux d’entre elles, des caméras ont servi à attaquer des tiers à l’insu de leurs propriétaires. Dans une autre, une faille de caméra a ouvert des portiers d’immeuble. Dans la dernière, la faiblesse était chez le fournisseur en nuage qui hébergeait les images. La question qui en ressort pour un syndic, un gestionnaire ou un dirigeant n’est pas d’abord technique : mes caméras filment-elles pour moi ou pour quelqu’un d’autre, et qui répond de ce qu’elles voient ?

Mirai, 2016 : des caméras enrôlées avec leur mot de passe d’usine

Le 20 septembre 2016, le site KrebsOnSecurity subit une attaque par déni de service de 620 Gbit/s ; le même mois, l’hébergeur OVH en encaisse une d’au moins 1,1 Tbit/s. Le 14 octobre, le CERT américain publie une alerte sur le réseau de machines zombies Mirai. Le 21 octobre, une attaque contre la société Dyn rend Twitter, Netflix et Reddit indisponibles ; le code source ayant été publié fin septembre, Krebs ne l’attribue pas aux auteurs initiaux.

Mirai balaie Internet à la recherche de caméras, d’enregistreurs et de routeurs dont le service Telnet (ports 23 et 2323) est joignable, puis essaie une liste de 62 identifiants par défaut. Le vecteur documenté n’est pas une faille logicielle mais des mots de passe d’usine jamais changés ; aucune CVE n’y correspond. L’alerte précise que le programme ne vit qu’en mémoire — un redémarrage l’efface — mais que l’appareil est rapidement réinfecté tant que le mot de passe reste le même.

Selon le communiqué du ministère américain de la Justice du 13 décembre 2017, les trois auteurs, Paras Jha, Josiah White et Dalton Norman, ont plaidé coupable le 8 décembre 2017. Au plus fort de son activité, le réseau comptait « des centaines de milliers » d’appareils ; Krebs cite une étude qui en dénombre plus de 300 000, dont 175 000 pour la seule attaque du 20 septembre. Le 18 septembre 2018, les peines prononcées ont été de cinq ans de probation, 2 500 heures de travaux d’intérêt général, 127 000 dollars de restitution et une coopération continue avec le FBI. Des centaines de milliers de propriétaires de caméras avaient participé, sans le savoir, à des attaques contre des tiers.

Hikvision, 2021-2024 : un correctif publié, des dizaines de milliers de caméras jamais mises à jour

Hikvision est l’un des premiers fabricants mondiaux de vidéosurveillance, très présent dans les parties communes et les parkings. Le 18 septembre 2021, un chercheur signant « Watchful IP » rend publique la faille CVE-2021-36260, notée 9,8 sur 10 : une requête web forgée, contenant une commande glissée dans un paramètre de langue, donne un accès complet à la caméra sans mot de passe et sans aucune action d’un utilisateur. Le fabricant publie un avis dès le lendemain et un correctif le même mois ; la CISA alerte le 28 septembre, puis inscrit la faille à son catalogue des vulnérabilités exploitées le 10 janvier 2022.

Le 6 décembre 2021, FortiGuard décrit Moobot, un dérivé de Mirai qui utilise cette faille pour s’installer sur la caméra et lancer des inondations de trafic. Le 22 août 2022, onze mois après le correctif, BleepingComputer relaie un décompte de la société CYFIRMA : sur 285 000 serveurs analysés, plus de 80 000 caméras restent vulnérables, dans 2 300 organisations et une centaine de pays ; la France en compte 2 377. Il s’agit de caméras vulnérables, pas de caméras compromises ; la nuance compte.

La faille a ensuite eu une seconde vie. L’avis conjoint du FBI, du CNMF et de la NSA du 18 septembre 2024 la liste parmi celles qu’exploite le réseau dit « Raptor Train ». En mars 2024, selon une note du FBI du 16 décembre 2024, la campagne HiatusRAT balayait encore des caméras et des enregistreurs à la recherche de cette faille, sans compromission confirmée par cette voie. Si l’exploitation continue trois ans après le correctif, c’est que les caméras ne sont pas mises à jour — et une mise à jour suppose que quelqu’un en ait reçu la charge.

Dahua, 2021-2026 : la faille de la caméra ouvre le portier

Chez Dahua, autre grand fabricant, les portiers VTO et les moniteurs VTH sont de la même famille de micrologiciel que les caméras et les enregistreurs. Deux failles, CVE-2021-33044 et CVE-2021-33045, découvertes par le chercheur Bashis et corrigées en juin et juillet 2021, permettent d’ouvrir une session administrateur sans mot de passe en envoyant un paquet de connexion forgé sur le port de service de l’appareil (TCP 37777) ou sur son interface web. Le fabricant les note 8,1 sur 10 dans son avis du 1er septembre 2021, la base américaine NVD 9,8 ; la divergence tient à la difficulté d’exploitation estimée.

Ces failles ont d’abord servi à un acteur étatique. La CISA les inscrit à son catalogue le 21 août 2024, puis l’avis conjoint AA24-249A du 5 septembre 2024 établit que l’unité 29155 du renseignement militaire russe (GRU) les a exploitées contre des caméras Dahua d’infrastructures critiques.

Entre le 17 juin et le 22 juillet 2026, une opération dite « CameraSwarm », que la société Hunt.io a reconstituée à partir d’un répertoire de travail laissé accessible par ses opérateurs et décrite dans un rapport publié le 18 août 2026, a compromis plus de 14 530 appareils Dahua en 35 jours, par trois voies : la force brute sur les mots de passe (12 324 adresses), le contournement d’authentification des deux failles de 2021 (1 923 caméras) et l’abus du relais « P2P » en nuage du fabricant, en visant des numéros de série (283 appareils pourtant non exposés directement). Parmi les appareils touchés figurent des portiers d’entrée d’immeuble ; les compromissions se concentrent en Ukraine et en Russie, et The Hacker News en a rendu compte le lendemain.

Sur les 1 923 caméras entrées par les failles, les attaquants ont créé un compte caché nommé « p2pwn », qui survit au changement de mot de passe et, sur la plupart des versions de micrologiciel, à la réinitialisation d’usine. Un gestionnaire qui aurait « remis la caméra à zéro » après un doute l’aurait rendue à l’attaquant intacte. Hunt.io ne propose pas d’attribution ; sa recommandation tient en trois points : chercher le compte « p2pwn », désactiver le P2P, mettre à jour le micrologiciel. Les failles sont corrigées depuis juillet 2021 ; les cas constatés concernent des appareils jamais mis à jour.

Verkada, 2021 : quand la faiblesse est chez le fournisseur en nuage

Confier ses caméras et ses badges à un service en nuage déplace le problème sans le supprimer : l’immeuble hérite des failles de son fournisseur. Verkada, société américaine de caméras et de lecteurs de badges pilotés depuis sa plateforme, en a fait la démonstration. Une évaluation de sécurité menée en février 2021 avait relevé des lacunes critiques, non corrigées le 8 mars.

Les 8 et 9 mars 2021, un intrus accède à un serveur de support client mal configuré et exposé sur Internet, y trouve des identifiants d’administrateur et utilise l’outil interne qui permet au support de voir la plateforme comme n’importe quel client, avec un compte dit « Super Admin ». Aucune faille de produit, aucune CVE : une précaution manquée lors d’une mise à jour planifiée. Verkada ne s’en aperçoit pas elle-même : d’après la plainte de la Federal Trade Commission, l’entreprise l’apprend le 9 mars parce que l’intrus s’est signalé à un média, qui l’a contactée. L’accès est coupé en moins de deux heures, les clients prévenus sous six heures.

Bilan selon le rapport d’incident publié par Verkada le 7 avril 2021 : 97 clients, soit moins de 2 % d’environ 6 000, dont des caméras ont été consultées ; jusqu’à 4 530 caméras concernées ; 87 archives vidéo consultées ; les données de badges de 8 clients. La FTC soutient en outre que des condensats de mots de passe ont été exfiltrés, ce que Verkada conteste. La presse, reprise par Threatpost, a nommé parmi les cibles Tesla (usine de Shanghai, 222 caméras), Cloudflare, Halifax Health, la prison du comté de Madison et l’école de Sandy Hook. La FTC, elle, retient que l’intrus a eu la capacité d’accéder à « plus de 150 000 caméras en direct », y compris dans des hôpitaux psychiatriques et des cliniques de santé des femmes.

Till Kottmann, 21 ans, de Lucerne, dont le nom est associé à cette intrusion, a été mis en accusation aux États-Unis le 18 mars 2021 ; le communiqué du ministère de la Justice ne nomme pas Verkada. La sanction du fournisseur est venue trois ans plus tard : l’ordonnance négociée avec la FTC, annoncée le 30 août 2024 et soumise à l’approbation d’un juge, prévoit un programme de sécurité audité par un tiers pendant vingt ans et une pénalité de 2,95 millions de dollars, due à l’envoi de plus de 30 millions de courriels non sollicités et non à la fuite elle-même.

Ce que cela apprend à un immeuble ou une copropriété au Luxembourg

Aucun de ces cas ne s’est produit au Luxembourg, et aucun piratage d’interphone d’immeuble luxembourgeois n’apparaît, au 18 septembre 2026, dans une source de premier rang. Les mêmes équipements y sont pourtant installés.

  • Changer le mot de passe d’usine de chaque caméra, enregistreur et portier, un par appareil. C’est le vecteur de Mirai, et la force brute reste la première voie de CameraSwarm dix ans plus tard.
  • Retirer les appareils d’Internet et les isoler. Ni redirection de port sur le routeur, ni relais P2P du fabricant si l’on peut s’en passer : ce relais est une exposition à Internet déguisée. L’accès distant passe par un VPN, et le réseau vidéo reste séparé de celui du syndic et des résidents, car une caméra compromise ne tombe pas en panne : elle continue de filmer et attaque des tiers.
  • Tenir un inventaire : chaque appareil, sa version de micrologiciel, et le nom de qui est chargé de le mettre à jour. Les failles Hikvision et Dahua, corrigées en 2021, servaient encore en 2024, et celle de Dahua en 2026.
  • Écrire ces exigences dans le contrat du prestataire de vidéosurveillance : inventaire livré, mots de passe uniques remis au syndicat, plan de mise à jour, accès distant journalisé, retrait de tout accès à la fin du contrat.
  • Après un doute, ne pas se contenter d’une réinitialisation d’usine. Le compte caché de CameraSwarm y survit : mettre à jour le micrologiciel, puis vérifier la liste des comptes ; un redémarrage seul ne guérit rien tant que la cause demeure.
  • Interroger le fournisseur en nuage avant de signer : existe-t-il un compte de support capable de voir tous les clients, et comment cet accès est-il cloisonné et journalisé ? Chez Verkada, un seul compte compromis ouvrait tous les sites.
  • Décider et encadrer en assemblée. La CNPD rappelle que la vidéosurveillance d’une copropriété se décide en assemblée générale à la majorité des membres représentant au moins les trois quarts des voix, que seules les parties communes peuvent être filmées, que le syndicat des copropriétaires est responsable du traitement et que le syndic agit comme sous-traitant au sens de l’article 28 du RGPD.
  • Prévoir la notification. Les images du hall sont des données personnelles : si un tiers a pu les consulter, il peut s’agir d’une violation à notifier à la CNPD dans les 72 heures prévues par le RGPD. Le syndicat et son syndic doivent avoir décidé à l’avance qui en juge et qui informe les résidents.

Une caméra compromise ne tombe pas en panne : elle continue de filmer, et rien ne se voit dans le hall. Ces affaires ne se remarquent pas ; elles se préviennent.

Sources