Votre capteur est une porte dérobée : quand l'IoT que vous installez devient le point d'entrée des pirates
Le capteur connecté que vous installez peut devenir le maillon faible par lequel un attaquant entre chez votre client. Et la facture peut être pour vous.
- Un capteur IoT mal configuré ou non patché est un point d'entrée connu des attaquants vers le réseau industriel du client.
- Si l'intrusion passe par le matériel que vous avez installé et raccordé, votre responsabilité peut être recherchée au titre du défaut de sécurisation.
- Le risque mêle RC Pro (faute de prestation) et cyber (frais de gestion d'incident, notification, expertise forensique).
- Segmentation réseau, changement des mots de passe par défaut et politique de mise à jour sont vos trois lignes de défense documentables.
Le maillon faible que personne ne surveille
Un technicien de maintenance prédictive raccorde, par chantier, des dizaines de capteurs, de passerelles et de boîtiers de collecte sur le réseau d'un client. Chacun de ces objets est un petit ordinateur : il a une adresse IP, un firmware, parfois un serveur web embarqué, souvent un mot de passe par défaut. Et c'est précisément ce qui en fait une cible.
Le scénario redouté n'est pas la panne mécanique, c'est l'intrusion. Un attaquant scanne le réseau industriel du client, trouve une passerelle IoT exposée, exploite un firmware non mis à jour, et utilise ce point d'appui pour se déplacer latéralement vers des systèmes plus sensibles : automates, supervision, voire bureautique.
Le boîtier que vous avez installé pour surveiller un roulement devient le pont par lequel un rançongiciel chiffre la GMAO du client. Le préjudice n'a plus rien à voir avec la maintenance.
Les objets connectés industriels traînent une mauvaise réputation justifiée : mots de passe usine jamais changés, ports d'administration ouverts, firmwares figés pendant des années, absence de chiffrement des communications. Le technicien qui les déploie sans durcissement transfère un risque latent dans le SI de son client — et en endosse une part de responsabilité.
Quand l'attaque passe par votre matériel, qui paie ?
La question juridique est nouvelle mais la logique est classique : avez-vous mis en œuvre les diligences attendues d'un professionnel pour sécuriser ce que vous installiez ?
Trois manquements typiques exposent le technicien :
- Le mot de passe par défaut laissé en place. C'est la faute la plus fréquente et la plus difficile à défendre. Un attaquant n'a même pas besoin d'exploiter une vulnérabilité : il se connecte avec les identifiants documentés publiquement par le fabricant.
- L'absence de segmentation. Brancher un capteur sur le même segment réseau que les systèmes critiques, sans cloisonnement, c'est ouvrir une autoroute entre l'objet le moins sécurisé et la donnée la plus sensible.
- Le firmware jamais mis à jour. Si une vulnérabilité connue et corrigée par le fabricant est exploitée parce que vous n'avez pas appliqué le correctif, la négligence est caractérisée.
Sur le plan assurantiel, le sinistre est hybride. La RC Pro peut intervenir au titre de la faute dans la prestation (défaut de sécurisation du matériel installé). Mais la gestion de la crise cyber elle-même — expertise forensique pour reconstituer le chemin de l'attaque, frais de notification, assistance juridique, voire prise en charge des conséquences chez le client — relève d'une assurance cyber dédiée.
Un technicien qui n'a qu'une RC Pro classique peut se retrouver couvert pour la faute mais démuni face aux frais de gestion d'incident, qui se chiffrent rapidement en dizaines de milliers d'euros dès que des experts en sécurité interviennent.
Trois lignes de défense que l'assureur veut voir
La bonne nouvelle : ce risque se maîtrise avec des pratiques simples, et leur documentation est précisément ce qui fait basculer un dossier en votre faveur.
- Changer systématiquement les identifiants par défaut. À chaque déploiement, sur chaque équipement. Conservez la trace de cette opération (procédure d'installation cochée, inventaire des équipements durcis).
- Exiger ou recommander par écrit la segmentation réseau. Si le client refuse de cloisonner son réseau, votre recommandation écrite transfère la responsabilité de ce choix vers lui. Sans trace écrite, le silence se retourne contre vous.
- Documenter la politique de mise à jour. Qui est responsable des firmwares ? Vous, dans le cadre d'un contrat de maintenance, ou le client ? Cette répartition doit figurer noir sur blanc. Un firmware obsolète exploité 14 mois après la sortie du correctif, sans clause définissant qui devait l'appliquer, est un piège.
Le réflexe à retenir : tout ce que vous branchez sur le réseau d'un client est un actif de sécurité. La frontière entre "j'installe un capteur" et "j'ouvre une porte" tient à trois opérations de durcissement et à leur traçabilité.
Le métier de technicien de maintenance prédictive IoT est en train de glisser, sans le dire, vers une responsabilité de cybersécurité de fait. Anticiper ce glissement — par les pratiques et par une couverture cyber adaptée — est ce qui distingue le professionnel exposé du professionnel protégé.
RC Pro et cyber : pourquoi les deux, et pas l'une ou l'autre
La tentation est de penser que la RC Pro "couvre tout". Sur le risque IoT, c'est faux, et la confusion coûte cher.
Imaginons un incident : votre passerelle non patchée sert de point d'entrée à un rançongiciel qui paralyse le client trois jours.
| Poste | Qui couvre |
|---|---|
| Faute de prestation (défaut de sécurisation) | RC Pro |
| Perte d'exploitation du client imputable à votre faute | RC Pro (immatériel consécutif) |
| Expertise forensique pour établir le chemin de l'attaque | Cyber |
| Frais de notification et assistance juridique | Cyber |
| Atteinte à VOTRE propre système (vos outils, vos données clients) | Cyber |
La RC Pro regarde le tort causé au tiers ; la cyber gère l'incident et protège votre propre activité. Les deux se complètent. Un technicien qui manipule au quotidien des objets connectés sur des réseaux clients sensibles a, objectivement, besoin des deux volets. Le coût marginal d'une couverture cyber pour un professionnel indépendant ou une petite structure reste modeste face à une seule facture d'expertise forensique.
Questions fréquentes
Potentiellement, oui, si l'intrusion résulte d'un manquement de votre part : mot de passe par défaut non changé, firmware vulnérable non mis à jour alors que c'était votre rôle, absence de durcissement. Votre responsabilité s'apprécie au regard des diligences attendues d'un professionnel. À l'inverse, si vous avez sécurisé l'équipement, recommandé par écrit la segmentation et que le client a ignoré vos conseils, la responsabilité se déplace vers lui.
Non, pas seule. La RC Pro couvre la faute de prestation et les dommages causés au tiers, mais pas la gestion de l'incident cyber lui-même : expertise forensique, notification, frais de remédiation, ni les atteintes à votre propre système d'information. Pour un métier qui raccorde en permanence des objets connectés sur des réseaux clients, une assurance cyber dédiée complète utilement la RC Pro.
Par la traçabilité. Tenez un inventaire des équipements installés mentionnant le changement des identifiants par défaut, la version de firmware appliquée et la date. Conservez vos recommandations écrites (segmentation réseau, politique de mise à jour) et la répartition contractuelle des responsabilités de patch. En cas de litige, ces documents font la différence entre une faute présumée et une diligence prouvée.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Technicien de maintenance prédictive (IoT) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Technicien de maintenance prédictive (IoT) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.