Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

La sécurité avec l’application Zoom

Faille de sécurité Par Eric Rousseau · 2 avril 2022 · Mis à jour le 31 octobre 2026 · 8 min de lecture
Personne masquée assise devant un ordinateur dans un bureau
En bref

Utilisez la version web de Zoom, activez l’authentification à double facteur et imposez un mot de passe pour chaque session.

La sécurité avec l’application Zoom dépend moins du logiciel lui-même que de la façon dont vous l’utilisez : version web plutôt qu’application installée, authentification à double facteur sur votre compte, mot de passe et salle d’attente pour chaque réunion. Zoom a beaucoup corrigé depuis les scandales de 2020, mais sa popularité en fait toujours une cible, et une réunion de parents ou une rencontre avec un bureau coordonnateur mérite le même soin qu’un dossier d’enfant.

Table de bois avec deux ordinateurs portables, des écouteurs et des téléphones, deux personnes de dos dans une cuisine

La visioconférence s’est installée dans les maisons comme dans les bureaux ; la sécurité des réunions, elle, se règle en quelques clics.

Une petite application devenue grande trop vite

Zoom a connu une croissance sans précédent au début de la pandémie. Son président-directeur général l’a écrit lui-même dans un message aux utilisateurs publié le 1er avril 2020 : en décembre 2019, le nombre maximal de participants quotidiens à des réunions était d’environ 10 millions ; en mars 2020, il dépassait 200 millions. Un service conçu pour les entreprises s’est retrouvé du jour au lendemain dans les écoles, les hôpitaux, les parlements et les services de garde, avec des réglages par défaut pensés pour la commodité plutôt que pour la confidentialité.

Les pirates ont suivi le mouvement. Le Centre canadien pour la cybersécurité a publié dès le 3 avril 2020 une alerte, Facteurs à considérer pour l’utilisation de produits et services de vidéoconférence (AL20-011), qui recommandait de ne jamais afficher les liens de réunion dans des forums publics, d’exiger un mot de passe, d’utiliser une salle d’attente et d’installer immédiatement la dernière mise à jour de Zoom, qui corrigeait alors des failles connues sur macOS.

Des failles documentées, pas des rumeurs

Le 9 novembre 2020, la Federal Trade Commission des États-Unis a annoncé un règlement avec Zoom. Selon la plainte de la FTC, l’entreprise affirmait depuis au moins 2016 offrir un chiffrement de bout en bout à 256 bits alors qu’elle conservait elle-même les clés permettant d’accéder au contenu des réunions ; certains enregistrements étaient stockés sans chiffrement jusqu’à 60 jours ; et une mise à jour de juillet 2018 avait installé sur les Mac un serveur Web caché, ZoomOpener, qui contournait une protection de Safari et se réinstallait même après la suppression de l’application. Le règlement impose à Zoom un programme de sécurité complet, l’authentification multifacteur et des évaluations indépendantes tous les deux ans.

En avril 2021, au concours Pwn2Own, deux chercheurs de la firme Computest ont enchaîné trois vulnérabilités pour exécuter du code sur l’ordinateur d’une victime par le client Zoom, sans que celle-ci ait à cliquer sur quoi que ce soit ; ils ont reçu une prime de 200 000 $ (Zero Day Initiative, résultats de Pwn2Own 2021). Prendre le contrôle d’un ordinateur, c’est aussi prendre le contrôle de son micro, de sa caméra et de ses fichiers. En août 2021, Zoom a accepté de verser 85 millions de dollars américains pour régler une action collective qui lui reprochait d’avoir partagé des données d’utilisateurs avec Facebook, Google et LinkedIn, tout en niant toute faute (AFP, 2 août 2021).

Ces épisodes expliquent pourquoi, en avril 2020, Google a interdit le client Zoom sur les ordinateurs de ses employés, tout en permettant la version Web et mobile (The Next Web, 9 avril 2020), et pourquoi le gouvernement français a demandé à ses ministres de ne pas utiliser Zoom, la Direction interministérielle du numérique en déconseillant fortement l’usage « compte tenu des risques sur la protection des données et des failles constatées » (Solutions Numériques, 6 mai 2020). Depuis, Zoom offre un vrai chiffrement de bout en bout, mais il doit être activé par l’hôte et désactive plusieurs fonctions, dont l’enregistrement infonuagique et les salles de petits groupes (Zoom, 14 octobre 2020).

Ce que recommande le Centre canadien pour la cybersécurité

La publication Vidéoconférence (ITSAP.10.216), mise à jour en janvier 2025, résume la bonne pratique pour une petite organisation : choisir un fournisseur qui respecte les lois canadiennes sur la vie privée, envisager une application Web qui n’exige ni installation ni mise à jour, modifier les paramètres par défaut parce qu’ils sont souvent moins sûrs, désactiver le partage de fichiers et la transcription quand on n’en a pas besoin, exiger un mot de passe de réunion, utiliser une salle d’attente, empêcher les participants d’entrer avant l’hôte et limiter le nombre d’hôtes. Pour les employées : n’utiliser que l’application approuvée par l’organisation, protéger le compte par un mot de passe robuste et l’authentification multifacteur, et vérifier l’adresse avant de cliquer sur un lien de réunion.

Ces conseils ne sont pas propres à Zoom. Teams, Google Meet ou Jitsi posent les mêmes questions ; la différence, c’est que Zoom a été le plus exposé, donc le plus étudié. Un service de garde qui applique cette liste est protégé quel que soit l’outil choisi.

Un exemple concret dans un CPE

Imaginons un CPE de Trois-Rivières qui tient son assemblée générale annuelle sur Zoom. Le lien est publié sur la page Facebook du CPE, sans mot de passe, et la réunion commence dès qu’un premier participant se connecte. Dix minutes avant l’heure, un inconnu entre, partage son écran avec des images choquantes et insulte les parents présents ; la directrice met cinq minutes à comprendre comment l’expulser, et deux familles quittent pour de bon. Dans la version corrigée, le lien et le mot de passe sont envoyés par courriel aux seules familles inscrites, la salle d’attente est activée, l’adjointe admet les participants un à un en vérifiant leur nom, le partage d’écran est réservé à l’hôte, et personne ne peut entrer avant la direction. L’inconnu reste dans la salle d’attente, puis s’en va. La configuration a pris dix minutes.

Ce que ça change pour votre service de garde

  1. Choisissez un seul outil de visioconférence et approuvez-le par écrit. Zoom, Teams ou Google Meet, selon ce que vous avez déjà ; une phrase dans votre politique de sécurité précise que les réunions du milieu passent par cet outil et aucun autre. Une heure.
  2. Utilisez la version Web plutôt que l’application installée. Dans le navigateur, le logiciel est toujours à jour et isolé par les protections du navigateur, comme le recommande le Centre canadien pour la cybersécurité. Si vous gardez l’application, activez les mises à jour automatiques. Cinq minutes par poste.
  3. Activez l’authentification à double facteur sur le compte hôte. Dans les réglages du compte Zoom, section Sécurité, avec une application d’authentification plutôt qu’un texto. Dix minutes, sans frais.
  4. Verrouillez les réglages par défaut des réunions. Mot de passe obligatoire, salle d’attente activée, entrée avant l’hôte interdite, partage d’écran réservé à l’hôte, partage de fichiers et transcription désactivés. Vingt minutes, une seule fois.
  5. Envoyez les liens par courriel aux personnes inscrites, jamais sur les médias sociaux. Pour une assemblée de parents, le lien et le mot de passe partent la veille, aux adresses du dossier. Deux minutes par réunion.
  6. Prévoyez une co-hôte qui gère la salle d’attente et sait expulser un intrus. Une adjointe ou une membre du conseil d’administration, formée quinze minutes avant la première réunion : admettre, retirer, verrouiller la réunion une fois tout le monde entré.
  7. N’enregistrez une réunion que si c’est nécessaire, et dites-le. Un enregistrement qui montre des parents et des enfants est un renseignement personnel au sens de la Loi 25 : annoncez-le au début, conservez-le sur un support chiffré et supprimez-le quand il n’a plus d’utilité. Cinq minutes de discipline par réunion.

Sources

Foire aux questions

Est-ce que Zoom est vraiment sécurisé pour les services de garde?

L’article ne peut garantir une sécurité totale, car la popularité de Zoom en fait une cible constante pour les pirates. Des organisations comme Google et le gouvernement français déconseillent son utilisation.

Quelles sont les principales failles de sécurité de Zoom mentionnées?

Le FTC a révélé des mensonges sur le chiffrement global, et des hackers ont démontré la prise de contrôle du micro, de la caméra et des fichiers via une faille en 2021.

Comment protéger au maximum mes visioconférences avec Zoom?

Privilégiez la version web pour bénéficier de la protection du navigateur, activez l’authentification à double facteur et exigez un mot de passe pour chaque session.

À lire aussi

Étiqueté , , ,