Ascenseurs connectés et télémaintenance : la nouvelle surface d'attaque que personne ne couvre

Si vous installez ou modernisez des ascenseurs depuis cinq ans, vous avez vu la mutation. Là où le contrôleur traditionnel se limitait à des relais et un automate isolé, les nouvelles armoires de commande intègrent désormais :

• Un module de communication cellulaire (4G/5G) ou Ethernet vers le bâtiment.
• Un protocole de supervision (souvent MQTT, parfois CANopen-IP, OPC-UA).
• Une interface de télémaintenance permettant le diagnostic, voire la modification des paramètres à distance.
• Des capteurs intelligents (accéléromètre, contrôle de la tension des câbles, détection de présence, comptage de cycles).
• Parfois une caméra de cabine couplée à une carte SIM, pour la communication d'urgence.

Ce n'est plus un appareil mécanique avec un peu d'électronique. C'est un objet connecté industriel (IIoT), avec tout ce que cela implique en termes de surface d'attaque, de mise à jour logicielle et de gestion des vulnérabilités.

Et le problème, c'est que la profession d'ascensoriste a abordé cette transition par le prisme technique, pas par le prisme sécurité. Combien d'entre vous savent quelles bibliothèques logicielles tournent dans la carte mère du contrôleur installé hier ? Combien savent si elle a reçu un correctif de sécurité depuis sa mise en service ? La réponse honnête est souvent : très peu.

Pour matérialiser le risque, voici trois scénarios qui ne sont pas théoriques mais documentés par des chercheurs en cybersécurité ou par des incidents publics.

Scénario 1 : prise de contrôle de la cabine

En 2023, des chercheurs ont démontré qu'un automate de marque courante, exposé sur Internet via une passerelle mal configurée par un installateur, permettait de modifier à distance les paramètres d'arrêt aux étages. Aucun ascenseur n'a été détourné en réalité, mais la preuve de concept a été publiée. Si un attaquant exploite ce type de faille sur un parc d'ascenseurs, il peut bloquer un immeuble entier, voire provoquer des arrêts brutaux qui blessent les usagers.

Scénario 2 : exfiltration des flux vidéo de cabine

De nombreuses cabines récentes intègrent une caméra avec liaison cellulaire pour la communication d'urgence. Ces flux transitent via des serveurs gérés par l'ascensoriste ou un sous-traitant. Une mauvaise configuration des accès (mot de passe par défaut, port d'administration ouvert) peut permettre à un tiers d'accéder aux flux vidéo en temps réel, avec toutes les conséquences en termes de RGPD et d'atteinte à la vie privée des usagers.

Scénario 3 : rançongiciel sur la plateforme de télémaintenance

L'ascensoriste exploite une plateforme centrale qui supervise l'ensemble de son parc. Un rançongiciel chiffre cette plateforme. Conséquences : impossibilité de recevoir les alertes de pannes, perte de visibilité sur l'état des appareils, paralysie du dépannage. Les obligations contractuelles (délai d'1 heure pour personne bloquée) deviennent impossibles à tenir, et chaque jour d'indisponibilité expose à des pénalités contractuelles massives.

Deux textes européens redéfinissent les obligations des acteurs de la chaîne de l'IoT, et l'ascensoriste est concerné, qu'il en soit conscient ou non.

La directive NIS2 (transposée en France en 2024)

La directive NIS2 (UE 2022/2555) élargit considérablement le périmètre des entités soumises aux obligations de cybersécurité. Si vous gérez le parc d'ascenseurs d'un opérateur d'importance vitale (hôpital, opérateur télécom, secteur de l'énergie), vous devenez par ricochet un fournisseur essentiel et vous devez démontrer un niveau de sécurité minimal. Audits, plan de continuité, notification d'incident sous 24h : autant d'obligations dont le manquement est sanctionné jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires.

Le règlement Cyber Resilience Act (CRA)

Le règlement CRA (UE 2024/2847), applicable à partir de décembre 2027, impose à tout fabricant ou intégrateur d'un produit comportant des éléments numériques de garantir un niveau de sécurité par défaut, de fournir des mises à jour de sécurité pendant la durée de vie du produit, et de déclarer les vulnérabilités exploitées. Concrètement, si vous installez un ascenseur connecté en 2028, vous serez tenu pendant toute sa durée de vie technique (souvent 25-30 ans) à un devoir de maintenance cyber.

Le RGPD pour les flux vidéo et données usagers

Les caméras de cabine et les logs d'utilisation sont des données personnelles. Vous êtes au minimum sous-traitant au sens de l'article 28 RGPD, parfois responsable conjoint. Une violation de données expose à 4% du chiffre d'affaires mondial, plafonné à 20 M€, et à une indemnisation civile des personnes concernées.

La RC Pro ascensoriste couvre les conséquences d'une faute professionnelle matérielle ou immatérielle consécutive à une faute matérielle. C'est très efficace pour les sinistres traditionnels : un défaut de maintenance, une pièce mal montée, une chute liée à un dysfonctionnement physique.

Mais la RC Pro classique exclut habituellement plusieurs choses qui sont précisément le cœur du risque cyber :

• Les dommages immatériels non consécutifs à un dommage matériel (par exemple, une perte de chiffre d'affaires causée par une indisponibilité de la plateforme).
• Les dépenses de gestion de crise cyber (forensique informatique, communication, négociation avec un attaquant).
• Les amendes administratives CNIL ou ARCEP, qui ne sont jamais assurables au-delà des frais de défense.
• Les rançongiciels, qui font l'objet d'exclusions ou de sous-plafonds spécifiques quand ils sont couverts.
• L'extorsion et la perte de fonds, qui relèvent de garanties d'assurance fraude distinctes.

Sans garantie cyber dédiée, vous vous retrouvez à devoir financer la gestion de crise sur fonds propres, alors que les premiers jours sont les plus coûteux. Un incident moyen pour une PME française coûte entre 50 000 et 250 000 € selon les études du Clusif et de l'ANSSI, et un incident grave peut dépasser le million d'euros.

Tous les contrats cyber ne se valent pas. Pour un ascensoriste qui exploite une plateforme de télémaintenance, voici les garanties à exiger.

Frais de gestion d'incident : forensique, notification aux personnes concernées, communication de crise, prise en charge d'un consultant en sécurité. Plafond minimum recommandé : 500 000 €.

Pertes d'exploitation cyber : indemnisation de la perte de marge brute pendant la durée d'interruption, généralement entre 3 et 12 mois selon le contrat. Vérifiez la franchise temporelle (souvent 8 à 24 heures).

Rançongiciel et extorsion : prise en charge de la négociation, et selon les contrats, du paiement éventuel de la rançon. Attention : depuis la loi LOPMI du 24 janvier 2023, le paiement d'une rançon n'est indemnisable qu'à condition d'avoir déposé plainte dans les 72 heures. Sans plainte, pas d'indemnisation.

Responsabilité civile cyber : couverture des dommages causés à un tiers par votre faute de sécurité (par exemple, un client victime du fait de votre brèche). C'est la passerelle entre cyber et RC Pro, et c'est là que la qualité du contrat se révèle.

Sanctions administratives : prise en charge des frais de défense devant la CNIL ou les autorités sectorielles, et selon les contrats, des amendes elles-mêmes dans la mesure où la loi locale l'autorise.

L'erreur classique : souscrire une cyber "PME standard" plafonnée à 250 000 € en globalité. Pour un ascensoriste exploitant un parc de plusieurs centaines d'appareils connectés, c'est très insuffisant dès lors que l'indisponibilité de la plateforme dure plus de 48 heures.

Vous pouvez consulter notre guide complet de l'assurance cyber et notre page métier ascensoriste pour adapter la garantie à votre parc.

1. Cartographiez votre exposition cyber : combien d'ascenseurs connectés exploitez-vous, sous quels protocoles, quels fournisseurs de plateforme, quels sous-traitants ?
2. Auditez les mots de passe par défaut sur les armoires installées depuis 5 ans. Notre expérience suggère qu'au moins 30% d'entre elles n'ont jamais été modifiées.
3. Vérifiez vos contrats fournisseurs : qui est responsable de la cybersécurité du firmware de l'automate ? À qui revient la mise à jour de sécurité ? Sans clause claire, c'est vous.
4. Mettez en place une procédure de notification d'incident sous 24h, conformément à la directive NIS2 et au RGPD, avec un référent désigné.
5. Souscrivez une garantie cyber dédiée, avec un plafond minimum de 1 000 000 € en globalité, et un sous-plafond rançongiciel d'au moins 250 000 €.
6. Formez vos techniciens à la cybersécurité des systèmes embarqués : phishing, gestion des accès, mise à jour des firmwares. Le facteur humain reste la première porte d'entrée.