Le 15 juin 2026, la Cour fédérale du Canada a rendu publique une version caviardée d'une décision confirmant un fait sans précédent : le Service canadien du renseignement de sécurité (SCRS) a utilisé, pour la première fois de cette manière, un "mandat de réduction des menaces" pour s'introduire dans des routeurs domestiques et des objets connectés grand public — sonnettes Ring, caméras de sécurité, smart TV — et les couper de deux botnets opérés par des États étrangers. C'est la première fois qu'un cas est documenté publiquement d'une agence de renseignement occidentale modifiant directement de l'électronique grand public à l'intérieur des foyers de ses propres citoyens.
Le mandat, accordé initialement le 1er mai 2024 par la juge Catherine Kane et renouvelé en août de la même année, s'appuie sur les "mesures de réduction des menaces" du SCRS : un pouvoir légal qui permet à l'agence de perturber activement une menace — l'altérer, la dégrader ou la détruire — plutôt que de se limiter à collecter du renseignement à son sujet. Ce pouvoir, inscrit dans la Loi sur le SCRS et remanié dans le cadre de la Loi sur la sécurité nationale de 2017 (en vigueur depuis 2019), existait depuis des années dans le cadre juridique canadien sans qu'un usage de ce type contre une infrastructure de botnet ne soit connu publiquement. Les motifs confidentiels de la décision ont été rendus en février 2026 ; la version publique a suivi quatre mois plus tard.
Ce qui a changé
- Premier usage documenté contre des botnets : il s'agit du premier cas public connu du SCRS déployant ses pouvoirs de réduction des menaces contre une infrastructure de botnet, plutôt que contre des menaces plus classiques d'espionnage ou de terrorisme.
- Portée du mandat : il couvrait des serveurs de commande et de contrôle situés au Canada, des routeurs SOHO (small office/home office) et des objets connectés grand public compromis et enrôlés dans deux botnets opérés par des États étrangers.
- Appareils explicitement nommés : la décision identifie les sonnettes intelligentes Ring, les caméras de sécurité domestiques, les smart TV et d'autres appareils Wi-Fi comme faisant partie des dispositifs infectés qui ont été neutralisés.
- Pouvoirs concrets autorisés : le tribunal a autorisé le SCRS à altérer, dégrader et détruire le maliciel et les données du botnet présents sur les appareils infectés, et à couper leur connexion à l'infrastructure de commande étrangère.
- Quatre ans entre le mandat et la transparence : entre l'octroi du mandat en mai 2024 et la publication de la décision en juin 2026, plus de deux ans se sont écoulés, illustrant la longueur du processus judiciaire et de déclassification pour ce type d'opération.
Impact pour les équipes de développement et produit
Pour celles et ceux qui s'autohébergent, gèrent une installation domotique avec Home Assistant, ou sont responsables de la sécurisation de parcs d'objets connectés en environnement professionnel, cette affaire livre plusieurs leçons inconfortables. La première : n'importe quel appareil connecté à internet doté d'un micrologiciel obsolète ou d'identifiants par défaut peut faire partie d'un botnet à l'insu total de son propriétaire — aucun des Canadiens concernés n'a été prévenu avant que son routeur ou sa caméra Ring ne soit enrôlé dans une opération menée par une puissance étrangère. La seconde, sans doute plus pertinente pour qui administre une infrastructure IoT : le nettoyage opéré par le SCRS a supprimé le maliciel actif, mais n'a pas corrigé la vulnérabilité ayant permis l'infection initiale. Beaucoup des appareils concernés sont anciens, exécutent un micrologiciel obsolète ou utilisent encore des mots de passe d'usine. Les chercheurs en sécurité qui ont couvert l'affaire notent qu'il suffit de redémarrer ou de réinitialiser l'un de ces appareils pour annuler le nettoyage du SCRS et le laisser à nouveau exposé à une réinfection par les mêmes acteurs. La responsabilité ultime de corriger et de mettre à jour son propre parc IoT continue de reposer sur son propriétaire ou son administrateur, jamais sur l'agence intervenue ponctuellement.
Recommandations pratiques
- Changer tous les mots de passe par défaut des routeurs, caméras, sonnettes intelligentes et de tout objet connecté dès leur installation, sans exception.
- Maintenir à jour le micrologiciel du routeur et de tous les objets connectés, en activant les mises à jour automatiques lorsque le fabricant le permet.
- Segmenter les objets connectés sur un VLAN ou un réseau invité distinct des équipements principaux, afin de limiter les mouvements latéraux en cas de compromission.
- Surveiller le trafic sortant du réseau domestique ou professionnel à la recherche de schémas inhabituels pouvant indiquer une communication avec des serveurs de commande et de contrôle.
- Remplacer les routeurs, caméras et autres objets connectés arrivés en fin de vie et qui ne reçoivent plus de mises à jour de sécurité, aussi fonctionnels qu'ils paraissent encore.
Points de vigilance
- Si d'autres démocraties alignées sur les Five Eyes adoptent des pouvoirs similaires de "réduction des menaces" pour intervenir directement sur une infrastructure IoT compromise.
- La réaction des fabricants de routeurs, caméras et objets connectés concernés face à l'exposition publique de leurs produits comme vecteurs d'infection persistants.
- L'évolution parallèle des lignes directrices du NIST sur la cybersécurité IoT, et si elles intègrent des leçons tirées spécifiquement de cette affaire.
- Le débat sur la transparence et le contrôle judiciaire de ce type d'opérations, compte tenu du précédent qu'une agence de renseignement modifie des appareils privés sans consentement ni notification préalable.
- Si les Canadiens dont les appareils ont été utilisés finissent par être notifiés individuellement, et selon quel cadre juridique.
Conclusion : L'affaire du SCRS établit un précédent que d'autres agences de renseignement alignées sur les Five Eyes observeraient de près, selon plusieurs sources : une agence étatique peut, sous mandat judiciaire, s'introduire dans l'électronique grand public à l'intérieur des foyers de ses citoyens et la modifier, au nom de la cybersécurité nationale. La valeur opérationnelle pour neutraliser des menaces actives est réelle, mais le problème de fond demeure. Tant que les objets connectés continueront de sortir d'usine avec des mots de passe par défaut et cesseront de recevoir des correctifs au bout de quelques années, ils resteront une cible facile pour tout acteur, étatique ou non, prêt à les exploiter. Le nettoyage opéré par un tiers, aussi sophistiqué soit-il, ne remplace jamais l'hygiène de sécurité de base de l'appareil lui-même.
Sources et documentation
- The Hacker News — Canada's Spy Agency Used First-of-Its-Kind Warrant to Clean Botnet-Infected Devices
- CHAT News Today — Canada's spy service received judge's OK to target malware-infected devices
- Nanaimo News NOW — Canada's spy service received judge's OK to target malware-infected devices
- QPulse — Canada's CSIS Executes First-Ever Threat Reduction Warrant to Neutralize Foreign Botnets
- Shield53 Insights — Canada's CSIS Makes History With Unprecedented Botnet Neutralization Warrant