Serrures connectées : les risques de cybersécurité et comment les gérer

Les serrures connectées révolutionnent la gestion quotidienne des accès : ouverture par smartphone, codes temporaires, historique d’ouvertures, intégration avec les écosystèmes domotiques. Mais ce qui apporte de la souplesse apporte aussi de nouveaux risques. Une serrure connectée est, par définition, exposée à internet, et donc potentiellement attaquable par voie informatique. Cet article fait le point factuel sur les risques réels, leurs probabilités, et les bonnes pratiques pour sécuriser une installation connectée.

Les types d’attaques possibles

L’attaque sur le wifi domestique

Une serrure connectée wifi communique avec votre box internet. Si votre wifi est mal sécurisé, un attaquant à portée peut :

• Intercepter les communications entre la serrure et votre smartphone.
• Tenter de rejouer une commande d’ouverture capturée.
• Accéder à votre réseau interne et tenter d’attaquer l’application de gestion.

Probabilité réelle : faible si votre wifi est protégé par WPA2 ou WPA3 avec mot de passe robuste. Élevée si vous utilisez WEP (obsolète) ou wifi ouvert.

L’attaque sur le Bluetooth

Les serrures Bluetooth (Nuki, Tedee, certains Yale) utilisent le protocole BLE pour l’ouverture de proximité. Risques :

• Rejeu de signal : capture du signal d’ouverture pour le réémettre plus tard. Contre-mesure standard : protocoles avec nonce (jeton à usage unique) qui rendent le rejeu inopérant.
• Relay attack : capture du signal entre votre smartphone et la serrure depuis deux endroits différents pour ouvrir à distance. Très technique, nécessite matériel professionnel et présence simultanée à deux endroits.
• Saturation du protocole : envoi massif de paquets pour faire planter la serrure.

Probabilité réelle : très faible pour les marques sérieuses qui implémentent les contre-mesures depuis 2020.

L’attaque sur l’application mobile

L’application qui gère votre serrure stocke des tokens d’authentification :

• Si votre smartphone est volé non verrouillé, accès direct à l’app et à la serrure.
• Si l’app est mal sécurisée, malware peut extraire les tokens.
• Si vous utilisez le même mot de passe partout, fuite massive sur un autre service compromet l’accès à votre serrure.

Probabilité réelle : variable selon vos pratiques personnelles de sécurité numérique.

L’attaque sur le serveur cloud

Les serrures connectées communiquent via le serveur cloud du fabricant. Si ce serveur est piraté :

• Fuite massive de données (codes, historiques, identifiants).
• Possibilité d’envoyer des commandes d’ouverture aux serrures connectées.
• Impact potentiel sur des milliers d’utilisateurs simultanément.

Probabilité réelle : faible mais existante. Quelques précédents documentés sur des marques moyennes. Les leaders du marché (Nuki, Yale, Igloohome) maintiennent une cybersécurité de bon niveau.

Les risques réels en perspective

Comparaison avec les risques classiques

Mettre en perspective :

• Cambriolage par effraction physique : 1 ménage parisien sur 200 par an environ.
• Cambriolage par attaque informatique sur serrure connectée : statistiquement négligeable, quelques cas documentés mondialement par an.
• Vol de clé physique : 1 cas pour 100 ménages par an.
• Copie sauvage de clé physique : difficile à mesurer, probablement supérieur au piratage informatique.

Conclusion : les risques cybernétiques existent mais sont nettement inférieurs aux risques physiques classiques.

Le profil cible d’une cyberattaque

Les attaques ciblées sur serrures connectées concernent quasi exclusivement :

• Personnalités publiques ou politiques.
• Patrimoines exceptionnels (collections d’art, bijoux de prestige).
• Locaux commerciaux à forte valeur (entrepôts de luxe, joaillerie).
• Cas d’usage adversaires (espionnage industriel, conflits personnels).

Pour un ménage parisien standard, la cyberattaque ciblée est improbable.

Les bonnes pratiques de sécurisation

Choix de la marque

Priorisez les marques avec antécédents cybersécurité solides :

• Audits de sécurité publiés : Nuki, Yale, Igloohome publient des audits réguliers.
• Bug bounty actifs : programmes qui rémunèrent les chercheurs en sécurité.
• Mises à jour régulières : firmware mis à jour au moins 2-3 fois par an.
• Certifications : ISO 27001 sur les serveurs, conformité RGPD.

Détails dans notre Comparatif Nuki, Tedee, Yale.

Sécurisation du wifi domestique

• WPA3 (ou WPA2 minimum) avec mot de passe long (16+ caractères).
• Modification du mot de passe par défaut de votre box internet.
• Mise à jour du firmware de la box régulièrement.
• Désactivation du WPS (mode simplifié vulnérable).
• Optionnel : réseau wifi séparé pour les objets connectés (« IoT » vs « privé »).

Sécurisation du smartphone

• Verrouillage par biométrie ou code complexe.
• Mises à jour système installées rapidement.
• Aucune installation d’apps depuis sources externes.
• Authentification à deux facteurs sur l’app de gestion serrure.
• Mot de passe unique et fort pour le compte serrure.

Gestion des codes et accès

• Codes uniques par invité ou prestataire, jamais réutilisés.
• Suppression immédiate des codes après utilisation prévue.
• Revue trimestrielle des accès actifs.
• Historique consulté régulièrement pour détecter anomalies.

Mises à jour

• Activation des mises à jour automatiques du firmware de la serrure.
• Vérification mensuelle de la version installée.
• Installation rapide des correctifs critiques publiés par le fabricant.

La défense en profondeur : le principe du sandwich

Pourquoi ne jamais reposer uniquement sur le numérique

Même avec une excellente serrure connectée bien configurée, principe de base : ne reposez pas votre sécurité sur un seul mécanisme. Combinez :

• Mécanisme physique solide : cylindre A2P** ou A2P***, serrure multipoints.
• Couche connectée : ouverture par smartphone, codes temporaires.
• Surveillance : caméra ou vidéo-interphone.

Si une couche est compromise, les autres protègent.

La serrure connectée comme couche additionnelle

Considérez la serrure connectée comme un ajout fonctionnel, pas comme votre première ligne de défense. Votre porte doit déjà être physiquement résistante (blindage si possible) et la serrure mécanique doit déjà être de bonne qualité (A2P certifiée).

Une serrure connectée greffée sur une porte fine sans blindage offre moins de sécurité qu’une serrure mécanique haut de gamme sur une porte blindée.

Les scénarios de panne

La perte de connexion

Que se passe-t-il si votre wifi tombe en panne ? Les serrures connectées sérieuses fonctionnent en mode local (Bluetooth) en cas de coupure cloud. Vérifiez ce point avant achat.

La batterie morte

Une serrure à pile s’éteint au bout de 4-8 mois selon usage. Si vous ne surveillez pas le niveau, vous pouvez vous retrouver dehors. Solutions :

• Notifications de batterie faible activées sur l’app.
• Remplacement préventif des piles tous les 6 mois.
• Clé physique de secours conservée.

La panne du fabricant

Si le fabricant fait faillite, son service cloud peut s’arrêter. Conséquences :

• Plus de gestion à distance.
• Plus de mises à jour de sécurité.
• Vulnérabilités non corrigées dans le temps.

Privilégiez les fabricants établis avec antécédents solides. Et préservez votre fonctionnement local autant que possible.

Le cadre réglementaire

Le RGPD et vos données

Les serrures connectées collectent :

• Historique précis de vos entrées et sorties.
• Identités des personnes invitées (code = code lié à une personne).
• Géolocalisation parfois (déverrouillage automatique).
• Habitudes de vie (présence, absences récurrentes).

Vérifiez les conditions d’utilisation du fabricant : ces données sont-elles stockées, partagées, vendues à des tiers ? Privilégiez les fabricants qui s’engagent à un stockage local ou européen.

La responsabilité en cas de cambriolage

Si votre assurance habitation vous indemnise après un cambriolage facilité par une faille de serrure connectée, elle peut se retourner contre le fabricant. Procédure longue, issue incertaine.

Préférence pratique : déclarez votre serrure connectée à votre assureur en amont, pour clarifier la couverture en cas d’incident.

En conclusion

Les risques de cybersécurité sur les serrures connectées existent mais sont, pour la majorité des ménages, nettement inférieurs aux risques d’effraction physique classique. Choisissez une marque sérieuse, sécurisez votre wifi et votre smartphone, maintenez à jour, et conservez une couche mécanique solide en parallèle. La serrure connectée est un confort, pas un substitut à une sécurité physique de base.

Pour conseil et installation de serrures connectées sécurisées à Paris et Île-de-France, contactez Luciole Serrurerie au 01 84 24 04 05. Voir aussi nos articles Comparatif Nuki, Tedee, Yale, Smart locks pour Airbnb, et Biométrie et porte d’entrée.