Comment voir ses caméras à distance sans risque de piratage ?
Résumer cet article avec :
Sommaire
Une caméra d’entreprise se pirate rarement par la force : on entre avec un mot de passe resté d’origine, un enregistreur exposé sur internet ou le téléphone d’un gérant. Pour voir ses caméras à distance sans s’exposer, on passe par un VPN ou par le service du fabricant protégé par une double authentification, jamais par une redirection de port, et chaque accès se rattache à une personne.
Le 12 octobre 2026, le CERT-FR, rattaché à l’ANSSI, a publié une alerte sur de « nombreuses compromissions » de contrôleurs à distance d’installations de réfrigération, après une cyberattaque qui a touché plusieurs centaines de supermarchés selon Le Monde. Son constat vaut aussi pour les caméras et les alarmes : exposer une interface de gestion sur Internet est contraire aux bonnes pratiques.
Par où entre-t-on réellement dans une installation vidéo ?
Le mot « piratage » évoque un chiffrement cassé. Dans une installation vidéo professionnelle, les accès frauduleux passent plutôt par des portes laissées entrouvertes au moment de la pose ou au fil des années. Quatre points d’entrée reviennent, et chacun se ferme par une mesure différente.
| Point d’entrée | Ce qui l’ouvre | Ce qui le ferme |
|---|---|---|
| Un compte de l’enregistreur | Mot de passe d’origine, compte administrateur partagé, compte d’un ancien salarié encore actif | Comptes nominatifs, revue des comptes, suppression à chaque départ |
| L’interface de l’appareil visible depuis internet | Redirection de port sur la box, faille connue non corrigée | Aucune exposition directe, micrologiciel à jour |
| Le compte en ligne du fabricant | Adresse e-mail et mot de passe réutilisés ailleurs, absence de double authentification | Adresse dédiée, mot de passe unique, second facteur |
| Le téléphone ou le poste qui consulte | Session ouverte en permanence, appareil perdu ou partagé | Verrouillage de l’application, déconnexion à distance des sessions |
Les deux premières lignes relèvent du paramétrage de l’enregistreur lui-même, détaillé réglage par réglage dans notre guide NVR ou DVR : quel enregistreur choisir. Les deux dernières se jouent hors du local technique, et c’est sur elles que porte la suite. Elles se décident en même temps que l’architecture de l’installation de vidéosurveillance d’entreprise, pas après la mise en service.
Un enregistreur contient des images de personnes : sa sécurité est une obligation du responsable du traitement, pas une option de confort. La CNIL le rappelle dans son guide pratique de la sécurité des données, dont la fiche consacrée au réseau demande qu’aucune interface d’administration ne soit accessible directement depuis internet.
Le fabricant a aussi ses obligations. Depuis le 11 septembre 2026, le règlement européen sur la cyberrésilience lui impose de signaler les vulnérabilités activement exploitées et les incidents graves qui touchent ses produits comportant des éléments numériques vendus dans l’Union. Au moment de choisir le matériel, demandez combien de temps les mises à jour de sécurité seront fournies : un enregistreur qui n’en reçoit plus reste exposé à toute faille découverte ensuite.
Quelle voie choisir pour regarder ses caméras de l’extérieur ?
Quatre architectures donnent accès à un site depuis un téléphone ou un ordinateur distant. Elles ne se distinguent pas par la qualité d’image, mais par ce qui est exposé et par la personne qui détient les clés.
| Voie d’accès | Ce qui est exposé | Qui détient les clés | À retenir |
|---|---|---|---|
| Redirection de port sur la box ou le pare-feu | L’interface de l’enregistreur, visible de tout internet | Le mot de passe de l’appareil, seul | À écarter : la moindre faille non corrigée devient exploitable à distance |
| Service de connexion du fabricant | Rien en entrée : l’enregistreur se connecte lui-même aux serveurs du fabricant | Le compte en ligne du fabricant et les comptes de l’enregistreur | Simple à déployer ; tout repose sur la protection du compte en ligne |
| VPN vers le réseau du site | Le point d’entrée VPN, prévu pour être exposé | L’entreprise, qui émet et révoque les accès | La CNIL demande d’imposer un VPN pour l’accès à distance ; il faut un routeur ou un pare-feu adapté |
| Plateforme vidéo hébergée | Les flux envoyés vers l’hébergeur | L’hébergeur et l’entreprise, selon le contrat | Contrat de sous-traitance, localisation des données et débit montant à vérifier |
Le VPN a un inconvénient pratique : il faut l’ouvrir avant de lancer l’application, une étape que les utilisateurs pressés finissent par sauter. Le service du fabricant l’évite. Ce choix se défend, à condition de traiter le compte en ligne avec le même soin qu’un compte bancaire professionnel.
La voie d’accès distant se choisit avec le réseau du site, pas au dernier jour de la pose. Avant de proposer une architecture de vidéosurveillance pour votre entreprise, nous regardons ce que l’enregistreur expose sur internet et à qui appartiennent les identifiants.
Le compte du fabricant est-il le maillon faible ?
Avec un service de connexion du fabricant, l’enregistreur ouvre lui-même une liaison sortante vers les serveurs de ce fabricant. L’application du téléphone s’y connecte à son tour, et la mise en relation passe par ces serveurs. Selon les services, seul l’établissement de la connexion transite par eux, ou le flux vidéo aussi.
Conséquence directe : celui qui obtient l’adresse e-mail et le mot de passe du compte voit les caméras, depuis n’importe où, sans jamais toucher au réseau de l’entreprise. Ce compte devient la clé maîtresse de l’installation. Trois précautions réduisent nettement le risque :
- une adresse e-mail propre à l’entreprise, accessible à plusieurs responsables, plutôt que la boîte personnelle de l’installateur ou d’un salarié qui partira un jour ;
- un mot de passe utilisé nulle part ailleurs, pour qu’une fuite sur un autre site ne l’ouvre pas ;
- la double authentification, lorsque le service la propose : la CNIL la recommande pour toute connexion depuis l’extérieur, et précise qu’un code reçu par e-mail ne repose pas forcément sur deux facteurs distincts.
Ce que le service implique côté RGPD
Si les images transitent par les serveurs du fabricant ou y sont stockées, celui-ci agit comme sous-traitant de l’entreprise. Les conditions d’utilisation doivent alors couvrir ce que l’article 28 du RGPD exige d’un contrat de sous-traitance, et dire où les données sont traitées. Une lecture de dix minutes avant d’activer le service vaut mieux qu’une découverte après un contrôle.
Comment éviter que le téléphone devienne la porte d’entrée ?
Le téléphone échappe le plus souvent aux règles appliquées aux postes de l’entreprise. L’application y reste connectée des mois, sans nouveau mot de passe. Plusieurs habitudes ouvrent une brèche sans que personne ne les remarque.
Les notifications d’abord. De nombreuses applications de vidéosurveillance peuvent joindre une vignette de l’image à chaque alerte de mouvement, affichée sur l’écran verrouillé. Une personne qui ramasse le téléphone voit donc l’intérieur des locaux sans le déverrouiller. Désactivez l’aperçu sur l’écran de verrouillage, ou réglez les notifications en texte seul.
Les captures ensuite. Une capture d’écran envoyée dans une messagerie pour montrer un incident à un associé sort l’image du système : elle échappe à la durée de conservation, au journal et aux habilitations. Une séquence utile s’exporte depuis l’enregistreur, par une personne autorisée, et se range à part.
Le téléphone perdu, enfin. La plupart des services en ligne savent fermer à distance les sessions ouvertes : repérez où se trouve cette commande avant d’en avoir besoin. Et quand un salarié qui consultait les caméras quitte l’entreprise, son compte disparaît le jour même ; les règles d’attribution et de retrait des accès sont détaillées dans qui a le droit de visionner les images.
Peut-on suivre ses équipes en direct depuis son téléphone ?
Non, et la CNIL l’a sanctionné. Le 19 décembre 2024, elle a infligé 40 000 euros d’amende à une société du secteur immobilier dont deux caméras captaient en continu l’image et le son des salariés, dans des locaux servant à la fois de lieu de travail et d’espace de pause, consultables en temps réel par les encadrants sur une application mobile (délibération SAN-2024-021). Pour une finalité affichée de prévention des vols, le dispositif a été jugé excessif. La même décision relève, sur le logiciel de surveillance des postes de travail, un compte administrateur partagé qui empêchait de savoir qui avait fait quoi : un manquement à l’obligation de sécurité de l’article 32 du RGPD. L’accès mobile sert à vérifier une alerte ou un incident, pas à regarder une équipe travailler.
Comment savoir si une caméra a été piratée ?
Une intrusion réussie se voit rarement à l’image. Elle se lit dans l’administration du système, à condition d’y regarder. Les signes qui doivent alerter :
- un compte inconnu dans la liste des utilisateurs de l’enregistreur ou du service en ligne ;
- des connexions dans le journal à des heures où personne ne consulte, ou depuis des adresses inhabituelles ;
- un réglage modifié sans intervention connue : zone de masquage retirée, durée de conservation changée, adresse de notification remplacée ;
- une caméra motorisée qui change de position seule, ou une caméra désactivée ;
- un mot de passe qui ne fonctionne plus, ou un e-mail du fabricant annonçant une connexion depuis un nouvel appareil ;
- des enregistrements absents sur une plage précise alors que les caméras étaient en ligne.
Un voyant qui clignote ou une image qui se fige relèvent plus souvent d’une panne que d’une attaque : le diagnostic d’une caméra perdue suit d’autres pistes. Un journal des connexions désactivé, en revanche, empêche de trancher. Vérifiez qu’il est actif et qu’il conserve plusieurs semaines d’historique.
Que faire si l’accès a été compromis ?
L’ordre des gestes compte. Réinitialiser l’enregistreur en premier peut effacer le journal, c’est-à-dire la seule trace de ce qui s’est passé.
- Coupez l’accès extérieur : désactivez le service du fabricant ou la redirection de port, sans éteindre l’enregistreur.
- Exportez le journal des connexions et la liste des comptes, avec la date et l’heure de l’export.
- Depuis un appareil sain, changez les mots de passe de l’enregistreur et du compte en ligne, puis fermez toutes les sessions ouvertes.
- Supprimez les comptes inconnus et rétablissez les réglages modifiés.
- Évaluez si des images de personnes ont pu être vues ou copiées : si l’incident présente un risque pour elles, la notification à la CNIL se fait dans les meilleurs délais et, si possible, dans les 72 heures. Toute violation, notifiée ou non, se consigne dans un registre interne.
- Déposez plainte : accéder ou se maintenir frauduleusement dans un système informatique est un délit puni par le code pénal, plus sévèrement si des données ont été supprimées ou modifiées.
Le dispositif national d’assistance cybermalveillance.gouv.fr accompagne les victimes et référence des prestataires, dont ceux labellisés ExpertCyber. Reste la cause : tant que le point d’entrée n’est pas identifié et fermé, changer les mots de passe ne fait que gagner du temps. Le guide de la sécurité des données personnelles de la CNIL consacre une fiche à la gestion des incidents et une autre à la télémaintenance, utile si l’accès venait d’un prestataire.
L’avis de l’équipe Secureo
Quand nous reprenons une installation existante, nous ne commençons pas par les caméras. Nous ouvrons la liste des comptes de l’enregistreur et cherchons à qui appartient l’adresse e-mail du compte en ligne. Il arrive que personne sur place ne connaisse le mot de passe administrateur, ou qu’il soit collé sous l’appareil. Tant que ces deux questions restent sans réponse, l’entreprise ne contrôle pas vraiment son installation, quelle que soit la qualité du matériel.
Questions fréquentes sur le piratage des caméras de surveillance
Comment protéger sa caméra de surveillance ?
Ne l’exposez jamais directement sur internet par une redirection de port, remplacez le mot de passe d’origine et tenez le micrologiciel à jour. Pour l’accès distant, passez par un VPN ou par le service du fabricant protégé par une double authentification. Chaque utilisateur doit avoir son propre compte.
Une caméra sans connexion internet peut-elle être piratée ?
Plus difficilement, mais elle reste joignable depuis le réseau local. Un poste infecté, un Wi-Fi invité mal séparé du réseau interne ou une personne présente dans les locaux suffisent si le compte d’origine est resté actif.
Quel logiciel utiliser pour voir ses caméras ?
Le logiciel ou l’application du fabricant de l’enregistreur, ou un logiciel de gestion vidéo compatible. Le critère utile n’est pas la marque : vérifiez la présence de comptes nominatifs, d’une double authentification et d’un journal des connexions consultable.
Comment reconnaître une caméra factice ?
Absence de câble ou câble qui ne mène nulle part, voyant qui clignote en permanence, boîtier léger sans référence. Une caméra factice ne se pirate pas, mais elle n’enregistre rien : ses limites sont détaillées dans ce qu’une caméra factice change, et ce qu’elle ne change pas.
Peut-on voir ses caméras sans internet ?
Sur place, oui : l’application ou le logiciel se connecte à l’enregistreur par le réseau local. À distance, il faut une liaison, celle du site ou un routeur 4G dédié. Sans elle, les images ne se consultent que sur l’enregistreur ou depuis un poste du réseau interne.
Savez-vous qui peut voir vos caméras depuis l’extérieur, et par quel chemin ? Sur place, nous dressons la liste des comptes, des chemins d’accès distant et de ce que l’enregistreur expose, puis nous indiquons ce qui doit être fermé. Audit de votre vidéosurveillance d’entreprise, gratuit et sans engagement, à Paris et en Île-de-France. Par téléphone au 01 48 45 17 71.
Information générale, à jour au 23 octobre 2026. Elle ne constitue ni un conseil juridique ni un audit de sécurité informatique, et ne recommande aucun modèle ni aucun service de fabricant. Sources : CERT-FR, alerte CERTFR-2026-ALE-012 du 12 octobre 2026 ; CNIL, guide pratique RGPD « Sécurité des données personnelles », version 2024 mise à jour en 2026, fiches 4, 5, 8, 15 et 19 ; CNIL, « Notifier une violation de données personnelles » ; règlement (UE) 2016/679, articles 28, 32 et 33 ; CNIL, délibération SAN-2024-021 du 19 décembre 2024 ; ENISA, fiche sur la plateforme unique de signalement du règlement sur la cyberrésilience, septembre 2026 ; Commission européenne, page « CRA reporting » ; cybermalveillance.gouv.fr. Sources vérifiées le 15/10/2026.
Vidéosurveillance algorithmique : est-ce légal en entreprise ?
Combien de temps les images de vidéosurveillance sont-elles conservées ?
NVR ou DVR : quel enregistreur pour une vidéosurveillance pro ?
Combien coûte une installation de vidéosurveillance ?
Micro au travail : une caméra peut-elle enregistrer le son ?
Combien de caméras pour votre local professionnel ?