admin / admin
C'est le mot de passe par défaut d'un capteur de température déployé sur un projet IoT ouest-africain que j'ai audité l'année dernière. Le capteur était connecté au même réseau que le serveur de base de données. Aucun chiffrement. Aucune segmentation. Un script de trois lignes suffisait pour accéder à l'intégralité des données du système.
Ce n'est pas un cas isolé. C'est la norme.
18,5 milliards et une porte grande ouverte
Le marché IoT africain a dépassé 18,5 milliards USD. Neuf villes africaines figurent dans le Smart City Index 2026. Kigali déploie des compteurs intelligents pour 22 000 résidents. Lagos construit Eko Atlantic avec un réseau énergétique autonome.
Le continent se connecte à une vitesse impressionnante. Le problème, c'est que personne ne ferme la porte en sortant.
Les chiffres qui font mal
| Indicateur | Valeur | |---|---| | PIB annuel perdu en cybercriminalité | 10% | | Pertes cumulées 2019-2025 | > 3 milliards USD | | Croissance marché cybersécurité | 13,3% / an jusqu'en 2031 | | Professionnels à former (objectif Microsoft) | 1 million |
Trois failles que je vois partout
J'ai travaillé sur Netflow & Security Optimizer. J'ai déployé des capteurs IoT sur GEOWATCH. Voici ce que je retrouve systématiquement sur le terrain :
1. Le firmware fantôme 👻
Tu déploies un capteur en mars. En décembre, il tourne toujours sur le même firmware. Pas de mise à jour automatique, pas de canal de push OTA. Neuf mois de vulnérabilités non patchées. Multiplie ça par 200 capteurs et tu obtiens un cauchemar sécuritaire.
2. Le MQTT nu 📡
Le protocole MQTT est partout dans l'IoT africain. Léger, efficace, parfait pour la bande passante limitée. Mais dans la majorité des déploiements que j'ai vus, il tourne sans TLS. Les messages circulent en clair. N'importe qui avec un sniffer et dix minutes de patience peut lire le trafic.
# Ce qu'on voit trop souvent :
mosquitto_sub -h 192.168.1.100 -t "sensors/#" -v
# Ce qu'il faudrait :
mosquitto_sub -h 192.168.1.100 -t "sensors/#" -v \
--cafile ca.crt --cert client.crt --key client.key
3. Le réseau plat 🔓
Capteurs IoT, serveurs applicatifs, base de données — tout sur le même VLAN. Une caméra compromise = le réseau entier compromis. J'ai vu des architectures où un thermomètre connecté avait accès aux mêmes ressources que le serveur de production.
Ce que j'ai appris sur le terrain ivoirien
Sur GEOWATCH, les capteurs IoT font face à un cocktail de contraintes que les manuels de cybersécurité n'abordent jamais :
-
⚡ Connectivité intermittente — le capteur perd le réseau pendant des heures. Il stocke les données en local. Quand il se reconnecte, il envoie tout d'un coup. Pendant ce buffer, les données sont vulnérables.
-
☀️ Alimentation solaire instable — un capteur qui redémarre trois fois par jour à cause de coupures d'alimentation ne peut pas maintenir une session TLS stable.
-
🌡️ Environnement physique hostile — chaleur, humidité, poussière. Le hardware lâche avant le software.
La sécurité pensée pour un datacenter climatisé ne fonctionne pas dans un champ à Yamoussoukro. Il faut repenser les protocoles pour des environnements dégradés.
La solution n'est pas de ralentir
Je refuse le discours alarmiste qui dit "arrêtez de connecter avant de sécuriser". Non. Le continent ne peut pas se permettre d'attendre. Mais il peut intégrer la sécurité dès le jour un :
| Règle | Implémentation | Coût additionnel | |---|---|---| | 🔐 Chiffrement obligatoire | MQTT over TLS min. Sinon DTLS/CoAP | ~5% | | 📦 OTA ou rien | Si pas de mise à jour distante, ne pas déployer | ~5% | | 🧱 Micro-segmentation | Un VLAN par type de capteur + firewall | ~5% |
Total : environ 15% de plus sur le budget initial.
Le coût d'une brèche ? Demande aux entreprises qui ont perdu 3 milliards USD.
Le choix est vite fait.
Lectures complémentaires :