- La plupart des vrais cas sont passés par un compte cloud ou les serveurs du fabricant, pas par votre Wi-Fi : des voix d’inconnus dans des caméras Nest de chambres d’enfants à cause de mots de passe réutilisés (janvier 2019), 55 000 comptes Ring ouverts de la même façon (2017–2018), 13 000 utilisateurs Wyze qui ont vu des miniatures de caméras d’autres personnes après une erreur de serveur (février 2024), et eufy, qui a reconnu en janvier 2023 que des flux web n’étaient pas chiffrés.
- Le reste, c’étaient des caméras ouvertes sur internet avec leur mot de passe d’usine. Le réseau de zombies Mirai a pris en 2016 environ 380 000 appareils avec une liste de seulement 62 identifiants par défaut.
- Une appli qui ne marche que sur le réseau de la maison n’a ni compte ni serveur, donc personne ne peut s’y connecter de l’extérieur. Le mot de passe de la box, le firmware de la caméra et le verrouillage de l’écran restent votre affaire.
- Mamoon n’a ni cloud ni compte ; l’image reste sur votre Wi-Fi, la détection des pleurs tourne sur le téléphone. Hors de la maison, il utilise Tailscale, un VPN chiffré de bout en bout. Dormi, Cloud Baby Monitor et Baby Phone 3G travaillent aussi en local.
- Sept gestes couvrent presque tout : mot de passe de la box et WPA2/WPA3, mises à jour de la caméra, aucun mot de passe par défaut, double authentification sur les comptes cloud, UPnP coupé, prudence avec le Wi-Fi invité, et un ancien téléphone à jour, déconnecté de vos comptes et verrouillé.
Des babyphones et des caméras ont-ils vraiment été piratés ?
Oui. Ce qui frappe, c’est la banalité des chemins : quelqu’un s’est connecté, ou les systèmes d’une entreprise ont fait eux-mêmes une erreur. Les cas, vérifiés le 14 octobre 2026 :
| Quand | Qui | Ce qui s’est passé | Comment |
|---|---|---|---|
| 2016 | Réseau de zombies Mirai | Environ 380 000 caméras, enregistreurs et routeurs pris pour des attaques | 62 identifiants d’usine courants, essayés sur des appareils joignables depuis internet |
| 2017–2018 (ordonnance de la FTC, mai 2023) | Ring (Amazon) | Environ 55 000 comptes aux États-Unis ouverts par des inconnus. Indépendamment, un employé a regardé pendant des mois des milliers de vidéos de clientes | Credential stuffing avec des mots de passe fuités ailleurs ; selon l’autorité américaine de la consommation, la FTC, Ring n’a proposé une authentification à plusieurs facteurs qu’en 2019 |
| Janvier 2019 | Google Nest | À Orinda (Californie), la caméra Nest d’une famille a diffusé une fausse alerte de missiles nord-coréens. À Lake Barrington (Illinois), une voix d’inconnu est sortie de la caméra de la chambre d’un bébé de 7 mois, et le thermostat a été monté à environ 32 °C | Des mots de passe aussi utilisés sur d’autres services piratés ; Google a dit que Nest n’avait pas été piraté, a demandé par e-mail en février 2019 d’activer la validation en deux étapes et a exigé à partir du printemps 2020 un code par e-mail pour les comptes Nest |
| Mai 2019 – février 2020 | iBaby M6S | Les clips d’alarme enregistrés de chaque caméra, ainsi que les adresses e-mail et les lieux des propriétaires, pouvaient être récupérés dans le cloud du fabricant | Des clés cloud intégrées à la caméra et une erreur sur les identifiants ; corrigé en mars 2020 après la publication de Bitdefender |
| 4–26 décembre 2019 | Wyze | Une base de données concernant environ 2,4 millions d’utilisateurs est restée ouverte sur internet : adresses e-mail, noms de caméras, noms de Wi-Fi, environ 24 000 jetons Alexa. Ni mots de passe ni vidéo | Un serveur mal configuré chez le fabricant, trouvé par des chercheurs externes |
| Mars 2019 – mars 2022 | Wyze Cam | Bitdefender a trouvé un contournement de l’authentification, une faille d’exécution de code à distance et un accès libre aux enregistrements de la carte SD. Wyze a comblé les failles sur les v2 et v3 en près de trois ans ; la première Wyze Cam v1 a été arrêtée et jamais réparée | Des erreurs dans le logiciel de la caméra elle-même, joignable par le réseau |
| Novembre 2022 – janvier 2023 | eufy (Anker) | Des caméras à « stockage local » envoyaient des miniatures dans le cloud ; les flux web pouvaient s’ouvrir sans chiffrement dans un lecteur multimédia. Anker l’a reconnu et est passé à WebRTC chiffré | Des choix du fabricant en technique et en communication, pas une intrusion |
| 8 septembre 2023 | Wyze | Environ 2 300 utilisateurs de la vue web ont pu voir pendant environ 40 minutes les caméras de 10 autres personnes | Un mauvais réglage de cache lors du déploiement d’une version du serveur |
| 16 février 2024 | Wyze | Environ 13 000 utilisateurs ont reçu des miniatures de caméras d’autres personnes ; 1 504 ont appuyé dessus. Pas de vidéo en direct | Après une panne d’AWS, une bibliothèque de cache a confondu les identifiants d’appareils et d’utilisateurs |
Chacune de ces entreprises a corrigé son problème ou arrêté le produit ; cela ne veut pas dire que ses produits actuels sont peu sûrs. C’est le schéma qui compte : la faille était presque toujours le compte, les serveurs du fabricant ou un appareil laissé ouvert sur internet.
Comment un babyphone est-il vraiment piraté ?
Six portes, à peu près dans l’ordre où elles ont servi :
- Votre compte cloud. Quelqu’un essaie votre adresse e-mail avec un mot de passe fuité sur un autre service. Même mot de passe, pas de second facteur : il est dedans.
- Le côté du fabricant. Une erreur sur ses serveurs montre votre caméra à quelqu’un d’autre (Wyze), ou le fabricant stocke plus qu’annoncé (eufy, iBaby). Vous ne pouvez pas le réparer ; vous pouvez seulement décider de la quantité qui arrive jusqu’à ces serveurs.
- Une caméra ouverte sur internet. Une redirection de ports ou l’UPnP rendent la page de connexion de la caméra joignable de partout ; ajoutez un mot de passe d’usine et vous avez Mirai.
- Un Wi-Fi faible. Une clé Wi-Fi courte ou une box avec son identifiant d’usine laisse entrer un voisin sur votre réseau, et là une caméra locale n’est qu’un appareil de plus.
- Le cloud propre à la caméra. Une caméra Wi-Fi continue de parler à son fabricant même si vous la regardez dans une autre appli. TP-Link écrit que les caméras Tapo ont besoin d’internet pour l’installation, l’accès à distance, le partage et l’heure, et marchent en local après l’installation. Si vous ne voulez pas de ce trafic, coupez l’accès internet de la caméra dans la box.
- Le téléphone lui-même. Un téléphone parent sans verrouillage d’écran, ou un téléphone près de bébé encore connecté à votre messagerie, est le plus grand risque face à quelqu’un qui s’approche vraiment.
La Cnil cite les babyphones parmi les jouets connectés et conseille de les sécuriser : changer le réglage par défaut (mot de passe, code), protéger par mot de passe le smartphone et la box, un mot de passe fort et différent pour le compte en ligne, des mises à jour régulières. Cybermalveillance.gouv.fr décrit même le cas d’un babyphone vidéo dont une voix d’inconnu parle à l’enfant.
Un babyphone sans Wi-Fi peut-il être piraté ?
C’est beaucoup plus difficile, et pas depuis l’autre bout du monde. Un babyphone radio (caméra plus unité parents, sans Wi-Fi, sans appli) n’a aucun compte où se connecter et rien qu’on puisse trouver sur internet. Pour écouter, il faut être à portée radio, donc près de chez vous, et savoir quoi écouter.
- Les anciens babyphones analogiques émettent comme une radio. Consumer Reports prévenait dès 2009 que des voisins avec un babyphone semblable ou un téléphone sans fil peuvent écouter, et conseillait des modèles numériques. Si le vôtre grésille et crépite, il est analogique.
- Les babyphones numériques (Philips Avent, Babymoov, VTech et d’autres) jumellent la caméra et l’unité parents et sautent d’une fréquence à l’autre (FHSS) ou utilisent le DECT. La National Cybersecurity Alliance américaine décrit les appareils FHSS comme la voie la plus sûre, tout en soulignant que même le numérique n’est « pas à l’abri » ; les chercheurs d’ESET jugent les babyphones radio « globalement plus sûrs, même avec moins de fonctions », parce qu’un intrus doit être à portée et connaître la fréquence. Nous n’avons trouvé aucun cas prouvé où un babyphone radio numérique a été écouté.
Le revers est dans le nom : sans Wi-Fi, c’est aussi sans téléphone, sans second parent qui regarde, et sans vue de la chambre depuis le canapé en bas si la portée ne suffit pas. Une appli qui ne marche que sur le réseau de la maison, comme Mamoon, se place entre les deux : elle utilise votre Wi-Fi, mais ni compte ni serveur. Les portes venues d’internet restent fermées, et vous gardez le téléphone.
Ce qui inquiète vraiment les parents sur les forums
Les mêmes questions reviennent sans cesse. Réponses courtes :
- « Un inconnu peut-il parler à mon bébé par le babyphone ? » Dans les cas connus (Nest, Ring), seulement par le compte cloud des propriétaires, avec un mot de passe réutilisé. Un mot de passe propre plus la double authentification ferme cette porte ; une appli sans compte ne l’a pas du tout.
- « Le voisin peut-il voir notre caméra ? » Seulement avec votre clé Wi-Fi ou avec un vieux babyphone radio analogique. Une clé Wi-Fi longue et WPA2/WPA3 gardent une caméra locale dans votre foyer.
- « L’entreprise peut-elle regarder ? » Si l’image passe par ses serveurs, ses systèmes et son personnel peuvent être un risque : le cas de Ring et les confusions de Wyze montrent comment. Si l’image ne quitte jamais votre domicile, il n’y a rien à voir de leur côté.
- « Une caméra Wi-Fi bon marché sans marque est-elle sûre ? » La marque compte moins que les mises à jour, un mot de passe par défaut changé et aucun port ouvert. Regardez avant d’acheter combien de temps le fabricant promet des mises à jour.
Le test de deux minutes
Répondez par oui ou non, pour le babyphone qui tourne ce soir :
- Le mot de passe du compte de l’appli n’est-il utilisé nulle part ailleurs ?
- La double authentification est-elle activée pour ce compte (ou n’y a-t-il pas de compte) ?
- Avez-vous changé les mots de passe d’usine de la caméra et de la box ?
- L’UPnP et les redirections de ports sont-ils coupés dans la box ?
- La caméra met-elle son firmware à jour, et le fabricant publie-t-il encore des mises à jour ?
- Le Wi-Fi est-il en WPA2 ou WPA3 avec une clé longue ?
- L’ancien téléphone près du lit est-il verrouillé, à jour et déconnecté de votre messagerie ?
- Pourriez-vous dire tout de suite où va votre image : seulement chez vous, ou sur les serveurs d’une entreprise ?
Deux « non » ou plus : occupez-vous d’abord de ceux-là. La liste de contrôle plus bas montre comment, pas à pas.
Que change « seulement sur le réseau de la maison, sans compte » ?
Une appli qui ne travaille qu’en local envoie l’image par votre propre Wi-Fi de la caméra au téléphone, et elle s’arrête là. Sans compte, il n’y a rien où quelqu’un puisse essayer des mots de passe fuités. Sans serveurs qui gardent votre image, aucune panne ne peut montrer votre chambre à un inconnu, et personne chez l’éditeur ne peut y fouiller. Les deux premières portes, celles des plus gros cas, sont donc fermées.
Les autres portes sont chez vous : la box, le firmware de la caméra, le téléphone sur lequel vous regardez. « Local » les met entre vos mains, et c’est bien le but.
Comment Mamoon répond
Il n’y a ni compte Mamoon ni cloud Mamoon. L’image va du téléphone près de bébé, ou de la caméra, au téléphone parent par votre Wi-Fi, et marche même quand internet est coupé. La détection des pleurs tourne sur le téléphone, donc aucun son ne quitte l’appareil. Il n’y a ni enregistrements ni clips cloud qui pourraient sortir ; l’aperçu du matin reste sur votre téléphone.
Hors de la maison, Mamoon utilise Tailscale, un VPN gratuit fondé sur WireGuard. Tailscale documente que le trafic entre vos appareils est chiffré de bout en bout et que ses serveurs relais ne font passer que des paquets déjà chiffrés : les clés privées ne quittent jamais vos téléphones, donc un relais ne peut pas lire l’image. Vous l’installez sur les deux téléphones, ou, pour une caméra Wi-Fi, sur un ordinateur à la maison.
Mamoon n’est pas la seule appli à travailler ainsi. Dormi (Android seulement) annonce une transmission chiffrée, sans publicité ni suivi. Cloud Baby Monitor n’utilise par défaut que votre Wi-Fi et n’a pas besoin d’internet, sauf si vous activez « Unlimited Range ». Baby Phone 3G n’exige pas de compte et chiffre la connexion ; il marche par Wi-Fi ou en mobile. Bibino dit ouvertement que la communication passe par ses serveurs et que les enregistrements Premium y sont conservés 21 jours ; en échange, il porte loin sans réglage. Chacune place la frontière à un endroit différent.
Un ancien téléphone en babyphone est-il sûr ?
Sur un point, un ancien téléphone est plus sûr qu’une caméra Wi-Fi : aucun port ouvert sur la box, aucun cloud de fabricant. Les risques sont ceux du téléphone. Un modèle qui ne reçoit plus de mises à jour de sécurité a des failles connues et publiées ; un qui est encore connecté à votre messagerie et à vos photos est une mine pour quiconque le prend en main. Mettez-le à jour autant que possible, retirez les comptes inutiles et activez un verrouillage d’écran. L’installation est dans le guide de l’ancien téléphone.
La liste de contrôle
- Sécurisez la box. Vérifiez que le chiffrement du Wi-Fi est WPA2 ou WPA3 (il est en général actif par défaut sur les box des opérateurs) et changez les deux mots de passe : la clé Wi-Fi et celui de l’interface de la box, qui doivent être différents, longs, complexes et uniques. Désactivez l’administration à distance si vous n’en avez pas besoin, rappelle Cybermalveillance.gouv.fr.
- Gardez le firmware de la caméra à jour. Activez les mises à jour automatiques si la caméra les propose ; Cybermalveillance.gouv.fr comme le NCSC britannique le conseillent. Regardez avant d’acheter combien de temps le fabricant fournit des mises à jour.
- Changez tout mot de passe par défaut. Celui de la caméra, celui de la box et, pour Tapo, le compte caméra. Tout l’outil de Mirai était une liste de 62 identifiants d’usine.
- Activez la double authentification sur chaque compte cloud que vous gardez : chez le fabricant de la caméra, votre compte Apple ou Google, votre messagerie. Des mots de passe réutilisés ont ouvert 55 000 comptes Ring. Cybermalveillance.gouv.fr et la Cnil conseillent un mot de passe différent par service et la double authentification dès que possible.
- Coupez l’UPnP et les redirections de ports dans la box si vous ne savez pas exactement à quoi elles servent ; la CISA américaine et le NCSC britannique le disent. Pour joindre une caméra depuis l’extérieur, prenez un VPN comme Tailscale plutôt qu’un port ouvert.
- Réfléchissez avant d’utiliser le Wi-Fi invité. Cybermalveillance.gouv.fr conseille de mettre les objets connectés sur un réseau séparé, par exemple le réseau Wi-Fi invité de la box. Mais beaucoup de réseaux invités isolent aussi les appareils entre eux, si bien qu’une appli locale sur votre téléphone ne trouve pas la caméra. Mettez les deux sur le même réseau, ou désactivez l’isolation des appareils pour ce réseau.
- Préparez l’ancien téléphone. Installez chaque mise à jour qu’il reçoit encore, retirez les comptes inutiles, réglez un code ou une empreinte et laissez-le branché, hors de portée du lit. Avant qu’il ne quitte un jour la maison, réinitialisez-le.
Quand un babyphone cloud est le meilleur choix
- Vous voulez regarder bébé du bureau sans configurer de VPN. C’est précisément cette commodité que vous achètent les serveurs du fabricant.
- Vous ne voulez jamais toucher un réglage de la box. Un service cloud bien tenu, avec la double authentification activée, est une solution défendable ; vous faites alors aussi confiance à l’entreprise, pas seulement à votre domicile.
- Mamoon a aussi des limites sans rapport avec la sécurité : une caméra par téléphone parent, pas de « répondre à bébé », pas de berceuses, et il est sur Google Play maintenant, bientôt sur l’App Store.
Questions fréquentes
Peut-on pirater un babyphone Wi-Fi ?
Oui, et les chemins prouvés sont banals : un mot de passe réutilisé sur le compte du fabricant, une erreur sur les serveurs du fabricant ou une caméra joignable depuis internet avec son mot de passe d’usine. Des mots de passe propres, la double authentification, les mises à jour et aucun port ouvert couvrent presque tous les cas réels.
Un babyphone sans Wi-Fi peut-il être piraté ?
C’est bien plus difficile. Un babyphone radio n’a ni compte ni rien sur internet : un intrus doit être à portée et connaître la fréquence. Les anciens appareils analogiques pouvaient être écoutés par des voisins ; les babyphones numériques FHSS et DECT sont jumelés et changent de fréquence, et nous n’avons trouvé aucun cas prouvé où l’un d’eux a été écouté.
Les babyphones Wi-Fi sont-ils sûrs ?
Ils peuvent l’être. Les piratages prouvés sont venus de mots de passe réutilisés sur des comptes cloud, d’erreurs sur les serveurs des fabricants et de caméras ouvertes sur internet avec leur mot de passe d’usine. Prenez un mot de passe propre et la double authentification, gardez le firmware à jour, fermez les ports ouverts, ou choisissez un babyphone qui n’a pas besoin de compte.
Le babyphone Nest a-t-il été piraté ?
Les systèmes de Nest n’ont pas été forcés. En janvier 2019, des familles de Californie et de l’Illinois ont entendu des inconnus par leurs caméras Nest, après que quelqu’un avait essayé sur leurs comptes des mots de passe qu’elles employaient aussi sur d’autres services fuités. Google a ensuite promu la validation en deux étapes et exigé à partir de 2020 un code par e-mail pour les comptes Nest.
Mamoon envoie-t-il quelque chose à un serveur ?
Pas de compte, pas de cloud, pas d’enregistrements. L’image et le son vont par votre Wi-Fi de la caméra au téléphone, et la détection des pleurs tourne sur le téléphone. La façon dont ce site traite les données est dans la politique de confidentialité.
Une caméra Tapo parle-t-elle encore à TP-Link quand je la regarde dans Mamoon ?
Oui, tant que vous ne le bloquez pas. TP-Link écrit que l’installation, l’accès à distance, le partage et l’heure passent par son cloud et que l’image en direct marche en local après l’installation. Mamoon prend l’image directement sur la caméra par votre Wi-Fi ; la connexion cloud propre à la caméra est distincte, et vous pouvez l’autoriser ou la bloquer dans la box.
Tailscale est-il sûr pour regarder bébé hors de la maison ?
Tailscale est un VPN fondé sur WireGuard. D’après sa documentation, le trafic entre vos appareils est chiffré de bout en bout et ses relais ne peuvent pas le déchiffrer, car les clés ne quittent jamais vos téléphones. Mais votre connexion Tailscale est un compte : protégez-la avec la double authentification.
Sources
- Cybermalveillance.gouv.fr : la sécurité des objets connectés (mot de passe par défaut à changer, mises à jour automatiques, réseau distinct ; exemple d’un babyphone vidéo piraté), Comment sécuriser son réseau Wi-Fi (chiffrement WPA2/WPA3, mots de passe de la box, administration à distance, réseau invité pour les objets connectés) et 10 mesures essentielles (mot de passe unique, double authentification, mises à jour), consulté le 14 octobre 2026
- Cnil : jouets connectés, quels conseils pour les sécuriser (babyphones, mot de passe par défaut, mises à jour), Objets connectés : n’oubliez pas de les sécuriser et Mots de passe : recommandations (authentification à double facteur), consulté le 14 octobre 2026
- FTC, communiqué du 31 mai 2023 : Ring, 55 000 comptes piratés, authentification à plusieurs facteurs seulement en 2019, accès des employés aux vidéos (en anglais), consulté le 14 octobre 2026
- NBC Chicago, 30 janvier 2019 : famille de Lake Barrington, caméra Nest et thermostat ; Google : « mots de passe compromis », CBS Sacramento, 23 janvier 2019 : famille d’Orinda, fausse alerte de missiles, The Register, 6 février 2019 : e-mail de Nest aux clients et Google, 11 février 2020 : validation en deux étapes pour les comptes Nest (en anglais, consulté le 14 octobre 2026)
- BleepingComputer, 29 décembre 2019 : base de données Wyze ouverte du 4 au 26 décembre, 2,4 millions d’utilisateurs, pas de mots de passe (en anglais, consulté le 14 octobre 2026)
- Bitdefender Labs, 29 mars 2022 : failles de la Wyze Cam, v1 arrêtée sans correctif et The Record : chronologie depuis mars 2019 (en anglais, consulté le 14 octobre 2026)
- Consumer Reports, mars 2009 : les babyphones analogiques peuvent être écoutés, mieux vaut le numérique, National Cybersecurity Alliance : babyphones FHSS et ESET WeLiveSecurity, 7 novembre 2022 : babyphones radio contre Wi-Fi (en anglais, consulté le 14 octobre 2026)
- Engadget : incident Wyze du 16 février 2024, 13 000 utilisateurs, 1 504 clics, bibliothèque de cache et CBS News avec la déclaration de Wyze (en anglais, consulté le 14 octobre 2026)
- Forum Wyze : avis sur la vue web, 8 septembre 2023 (2 300 utilisateurs, 10 personnes concernées, réglage de cache) (en anglais, consulté le 14 octobre 2026)
- TidBITS, 2 décembre 2022 : des caméras eufy envoient des miniatures dans le cloud et gHacks, 1er février 2023 : Anker reconnaît que les flux n’étaient pas chiffrés de bout en bout (en anglais, consulté le 14 octobre 2026)
- Bitdefender Labs, 26 février 2020 : failles de l’iBaby M6S, corrigées en mars 2020 (en anglais, consulté le 14 octobre 2026)
- CISA, alerte du 14 octobre 2016 : Mirai, 62 identifiants par défaut, 380 000 appareils ; changer les mots de passe, couper l’UPnP, mettre à jour (en anglais, consulté le 14 octobre 2026)
- NCSC britannique : utiliser sans risque les caméras de sécurité connectées et babyphones (mot de passe par défaut, mises à jour automatiques, UPnP et redirection de ports) et NCSC : appareils connectés à la maison (validation en deux étapes) (en anglais, consulté le 14 octobre 2026)
- Communauté TP-Link (réponse d’un modérateur) : ce que font les caméras Tapo avec et sans internet (en anglais) et FAQ TP-Link : caméra Tapo en RTSP/ONVIF sur le réseau local (page a (en allemand)llemande) (consulté le 14 octobre 2026)
- Tailscale : chiffrement (WireGuard, de bout en bout) et Tailscale : les relais DERP ne peuvent pas déchiffrer le trafic (en anglais, consulté le 14 octobre 2026)
- Dormi : transmission chiffrée, sans publicité, sans suivi et Cloud Baby Monitor : Wi-Fi de la maison par défaut, pas d’internet nécessaire, Unlimited Range par internet (en anglais, consulté le 14 octobre 2026)
- Baby Phone 3G sur l’App Store France : Wi-Fi ou mobile, connexion chiffrée, aucun compte nécessaire et Bibino : confidentialité et sécurité (communication par les serveurs de Bibino, enregistrements Premium conservés 21 jours ; en anglais) (consulté le 14 octobre 2026)
Une erreur ou un chiffre dépassé ? Écrivez à [email protected].