Google a fait couper fin octobre un réseau de plus de 1,3 million d’appareils Android, en majorité des boîtiers TV, piégés avant même leur vente. Selon Google, c’est le fabricant lui-même qui avait caché la porte dérobée, puis revendu l’accès à des criminels. Pour une PME comme pour un particulier, la leçon est claire : un appareil connecté bon marché peut arriver déjà compromis.
Ce qui s’est passé
Le 2 novembre 2026, Google a publié l’analyse d’un réseau d’appareils piratés, un « botnet », baptisé XCPE (Google Threat Intelligence). Il réunissait plus de 1,3 million d’appareils : surtout des boîtiers qui transforment une télévision en écran connecté, mais aussi des écrans d’affichage, des appareils de téléconsultation et des machines de karaoké.
Google se dit très confiant : le fabricant chinois Videostrong, qui produit ces boîtiers sous sa marque et pour d’autres, a intégré volontairement la porte dérobée dans le logiciel interne des appareils, depuis plusieurs années. Avec la police japonaise et plusieurs entreprises de sécurité, Google a fait fermer les serveurs qui pilotaient le réseau et a banni Videostrong de son programme Android certifié (The Hacker News).
Comment l’attaque a fonctionné
Il n’y a pas eu d’intrusion au sens habituel : la porte dérobée était livrée avec l’appareil, comme une application du système. Elle désactivait la vérification des applications de Google, puis attendait les ordres de ses serveurs. Elle pouvait installer des programmes en silence, lancer des commandes, faire des captures d’écran et explorer le réseau sur lequel le boîtier était branché.
L’essentiel servait à gagner de l’argent avec la connexion du propriétaire. Les boîtiers devenaient des « proxys résidentiels » : des inconnus payaient pour faire passer leur trafic Internet par ces connexions, afin de paraître venir d’un foyer ordinaire. D’autres programmes simulaient des clics sur des publicités. Le propriétaire, lui, ne voyait rien : la télévision fonctionnait normalement.
Ce qu’on ne sait pas encore
Le nombre d’appareils touchés en France n’est pas publié. Les sources ne disent pas clairement si une réinitialisation d’usine suffit : la porte dérobée fait partie du système et revient au redémarrage, et les chercheurs de Synthient conseillent de jeter les boîtiers concernés. Les serveurs de commande sont coupés, mais les appareils restent piégés et pourraient être repris en main.
Ce que ça change pour une PME
- Faites l’inventaire de ce qui est branché. Télévision de salle d’attente, écran d’accueil, caméra, enceinte : ce sont des ordinateurs. Comparez la liste des appareils vus par la box ou le pare-feu avec ce que vous connaissez.
- Mettez les objets connectés sur un réseau séparé. Le réseau invité de la box, ou un réseau dédié, sans accès aux postes ni aux serveurs. La fiche « Comment sécuriser son réseau Wi-Fi ? » de Cybermalveillance.gouv.fr explique comment faire.
- Achetez chez des fabricants identifiés, qui publient des mises à jour. Un prix cassé sans marque claire est un risque. La fiche « La sécurité des objets connectés (IoT) » donne les bons réflexes avant l’achat.
- Débranchez un boîtier douteux. Si un appareil de marque inconnue ou de la marque MECOOL, citée par les chercheurs, est branché sur votre réseau, retirez-le et remplacez-le.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste de tous les appareils branchés sur notre réseau, y compris ceux qui ne sont pas des ordinateurs ?
- Qui décide qu’un nouvel appareil connecté peut être acheté et branché, et sur quels critères ?
- Nos objets connectés sont-ils sur un réseau séparé de celui de nos postes et de nos données ?
- Serions-nous capables de voir qu’un appareil de notre réseau envoie du trafic toute la nuit vers Internet ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 3 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.