Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

NurseryCam, Stonebrook, Insecam : des caméras de garderie vues par des inconnus

Faille de sécurité Par Eric Rousseau · 25 mars 2021 · Mis à jour le 2 novembre 2026 · 11 min de lecture
Caméra de surveillance blanche fixée au plafond d'un local sombre
En bref

Des caméras de garderie ont été vues en direct par des inconnus, faute de mots de passe uniques : voici ce qu’une direction doit exiger.

Le vendredi 19 février 2021, un pirate écrit au média britannique The Register : il affirme détenir les noms, identifiants, mots de passe et courriels de 12 000 comptes de parents de NurseryCam, un service qui permet aux familles de regarder leur enfant en direct pendant sa journée à la garderie. Une quarantaine de garderies britanniques l’utilisent. Le lendemain, le service est coupé. Les failles n’étaient pourtant pas un secret : un chercheur venait de les rendre publiques, et un parent les avait signalées dès 2015. Avant elle, une garderie du Tennessee avait vu son flux apparaître sur un site russe, et deux classes de garderie canadiennes, dont une indiquée à Montréal, avaient été diffusées par un site qui recense les caméras laissées avec leur mot de passe d’usine. Ce que ces histoires ont en commun n’est pas la caméra, c’est la façon dont elle est branchée.

Cet article porte sur la sécurité des caméras et de l’accès offert aux parents. La question de savoir ce qu’un service de garde a le droit de filmer, et ce que la Commission d’accès à l’information (CAI) a ordonné à deux garderies québécoises, est traitée dans notre article Caméras en garderie : ce que la CAI a ordonné et ce qu’une direction peut filmer.

Ce qui s’est passé

  • 2015, Royaume-Uni : un père dit à The Register avoir prévenu NurseryCam qu’on pouvait voir n’importe quel flux en changeant simplement l’adresse web dans le navigateur. D’autres parents disent avoir signalé des problèmes en 2019 et en 2020.
  • 22 août 2016, Murfreesboro (Tennessee) : NewsChannel 5 rapporte que le flux vidéo de la Stonebrook Day School, offert aux familles, est diffusé sur un site russe. Prévenu par un message anonyme venu d’Arkansas, le propriétaire débranche ses serveurs web et appelle la police.
  • 9 septembre 2016, Montréal : selon Global News, seule source sur ce cas, une utilisatrice de l’application « Web Camera Online » découvre la diffusion du hall d’entrée d’une garderie de Montréal, non nommée.
  • Jeudi 4 et vendredi 5 mai 2017 : Global News recense plus de 500 caméras canadiennes diffusées par Insecam, un site basé à Moscou qui regroupe les caméras dont le mot de passe d’usine n’a pas été changé. Parmi elles, deux classes de garderie, l’une indiquée à Mississauga, l’autre à Montréal. Les deux flux sont retirés le vendredi ; l’enquête paraît le 8 mai. Le média prévient que les lieux affichés par le site sont imprécis.
  • Février 2021 : un chercheur en sécurité publie un avertissement aux utilisateurs de NurseryCam. Selon lui, tous les parents d’une même garderie recevaient le même nom d’utilisateur et le même mot de passe administrateur de l’enregistreur vidéo. The Register précise que ces identifiants étaient visibles dans le code source de la page présentée aux parents.
  • 18 février 2021 : The Register détaille ces failles. L’entreprise soutient que les mots de passe par défaut sont changés après l’installation ; des parents de plusieurs garderies affirment le contraire au chercheur.
  • Vendredi 19 février 2021, 17 h 18 : NurseryCam constate l’incident, prévenue peu après 17 h par The Register, à qui le pirate s’était adressé le jour même.
  • Samedi 20 février 2021 : le service est suspendu et les parents sont avisés par courriel.
  • 22 février 2021 : l’autorité britannique de protection des données (ICO) confirme à The Register avoir reçu le signalement d’une possible fuite et dit l’évaluer.

Les données touchées

Dans trois cas sur quatre, ce qui a fuité, ce sont des images d’enfants en temps réel. Aucun cas n’est chiffré en nombre d’enfants filmés.

Cas Ce qui était exposé Ampleur publiée
Stonebrook, 2016 Flux vidéo offert aux familles, diffusé sur un site russe Non chiffré
Hall à Montréal, 2016 Flux en direct du hall d’entrée Non chiffré (source unique)
Insecam, mai 2017 Flux en direct de deux salles de garderie (Ontario, Québec) Plus de 500 caméras canadiennes au total (Global News)
NurseryCam, 2021 Noms, noms d’utilisateur, mots de passe et courriels des comptes parents 12 000 comptes selon le pirate (The Register) ; environ 40 garderies clientes (BBC, reprise par The Register)

Pour NurseryCam, The Register ajoute deux précisions. Selon ses sources, les mots de passe des parents étaient conservés en clair, sans chiffrement. Et, selon le chercheur, quiconque connaissait l’adresse IP d’un enregistreur pouvait voir les caméras en direct et jusqu’à 18 mois d’enregistrements. Un client professionnel de FootfallCam, l’entreprise derrière NurseryCam, a aussi dit au média avoir pu consulter les données d’autres clients en modifiant des paramètres dans l’adresse web.

Commutateur réseau avec des dizaines de câbles Ethernet bleus, jaunes et verts branchés
L’enregistreur des caméras est branché au même réseau que le reste : s’il est joignable depuis Internet, les images le sont aussi.

Ce qu’en disent les parents, les experts et les autorités

Une ancienne commissaire à l’information et à la protection de la vie privée de l’Ontario, interrogée par Global News en mai 2017, se demandait ce qui pouvait bien passer par la tête des administrateurs de ces caméras. Pour elle, les écoles, les garderies et les cliniques ont la responsabilité de protéger la vie privée des gens, surtout celle des enfants, et l’ignorance n’est plus une excuse acceptable.

L’utilisatrice qui a repéré le hall montréalais en 2016 a raconté à Global News avoir été saisie et mal à l’aise. Un expert en sécurité y explique que beaucoup de ces produits n’offrent qu’une sécurité minimale et qu’il faut chiffrer et protéger l’accès web.

Le propriétaire de la Stonebrook Day School l’a résumé ainsi à NewsChannel 5 : « We’re not in the IT business » (en français : nous ne sommes pas dans l’informatique). Son métier, dit-il, c’est de prendre soin des enfants ; il ne rétablira le flux que s’il est convaincu qu’il restera protégé. Un sergent de la police de Murfreesboro y voit des signaux d’alarme, tout en précisant que ce n’est pas nécessairement illégal.

Chez NurseryCam, une directrice de l’entreprise a dit à la BBC, propos repris par The Register, que la personne à l’origine de la fuite avait jusque-là agi de façon responsable. Un porte-parole de l’ICO a rappelé à The Register que les renseignements des enfants, images comprises, exigent une protection particulière, qu’il faut évaluer les risques avant de les traiter et que l’organisation qui achète un produit doit en choisir un conçu pour protéger les données.

Le Commissariat à la protection de la vie privée du Canada, enfin, a enquêté sur la webcam payante d’une garderie qui enregistrait le flux à l’insu d’un père (conclusion LPRPDE 2011-008). Il a qualifié la vidéo en direct de très jeunes enfants de renseignement très sensible et recommandé de désactiver les mots de passe des familles parties, de chiffrer la connexion (HTTPS), d’examiner les journaux d’accès et de faire signer aux parents un engagement de ne pas enregistrer. La garderie a tout appliqué.

Ce que ça enseigne à un CPE québécois

Précision honnête : rien ne prouve qu’une garderie québécoise ait été filmée par Insecam, Global News ayant lui-même mis en garde contre la localisation affichée. Mais le mécanisme est universel : mot de passe d’usine, compte administrateur partagé, adresse web qui suffit à ouvrir un flux. Ni la Loi sur les services de garde éducatifs à l’enfance ni son règlement ne contiennent de règle propre à la vidéo, c’est donc la Loi sur la protection des renseignements personnels dans le secteur privé (la Loi 25) qui s’applique.

Trois articles de cette loi parlent directement des cas NurseryCam et Stonebrook. L’article 10 exige des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur support : des images d’enfants accessibles à distance sont au sommet de l’échelle. L’article 18.3 s’applique dès qu’un fournisseur gère l’accès des parents : le contrat doit être écrit, préciser ses mesures de protection et l’obliger à aviser sans délai votre responsable de toute violation. Et si un inconnu a pu voir vos images, c’est un incident de confidentialité au sens de l’article 3.6 : il s’inscrit au registre, et la CAI et les parents sont avisés si le risque de préjudice est sérieux (article 3.5). L’article 3.3 ajoute qu’un nouveau système exige une évaluation des facteurs relatifs à la vie privée.

Le guide de la CAI sur la vidéosurveillance recommande aussi de protéger l’accès aux équipements, de limiter le nombre de personnes qui voient les images et d’avoir un plan en cas d’incident. Et quand le flux est offert aux parents, n’oubliez pas que chaque parent voit aussi les enfants des autres : le consentement suit les règles décrites dans notre article sur le consentement photo au CPE.

Ce que ça change pour votre service de garde

  1. Vérifiez cette semaine si vos caméras sont joignables depuis Internet. Demandez par écrit à votre installateur ou à votre technicien si l’enregistreur accepte des connexions de l’extérieur (redirection de port sur le routeur, UPnP activé, service infonuagique du fabricant). Une heure ; aucun coût si c’est prévu au contrat de votre technicien.
  2. Remplacez tous les mots de passe d’usine et supprimez les comptes partagés. Un compte nominatif par personne, aucun « admin » commun, comptes des employées parties désactivés le jour du départ. Une trentaine de minutes par appareil.
  3. Mettez à jour le micrologiciel et budgétez le remplacement des appareils que le fabricant ne soutient plus. Demandez la date de fin de soutien de chaque modèle.
  4. Si vous offrez un accès aux parents, exigez l’inverse de NurseryCam. Comptes individuels fermés au départ de l’enfant, double authentification, connexion chiffrée, mots de passe jamais conservés en clair chez le fournisseur, journal des accès consulté chaque mois, engagement de ne pas enregistrer. Si le fournisseur ne peut pas le démontrer par écrit, renoncez au service.
  5. Faites l’évaluation des facteurs relatifs à la vie privée avant de signer ou de renouveler, et inscrivez au contrat les mesures de sécurité, l’interdiction de réutiliser les images et l’avis sans délai de toute violation (article 18.3). Nos 12 questions à poser à un fournisseur valent aussi pour l’installateur de caméras.
  6. Traitez tout signalement comme une alerte, pas comme une attaque. NurseryCam a reçu des avertissements en 2015, en 2019, en 2020 et en février 2021 avant la fuite. Si un parent, un employé ou un chercheur vous écrit qu’il a pu voir un flux, remerciez-le, coupez l’accès externe le jour même et faites vérifier par votre technicien.
  7. Préparez le scénario « nos images sont en ligne ». Débranchez l’enregistreur d’Internet, notez l’incident dans votre registre des incidents de confidentialité, évaluez le risque avec votre responsable et, au besoin, suivez notre modèle d’avis aux parents en six mentions.

Foire aux questions

Comment savoir si les caméras d’une garderie sont visibles sur Internet ?

Demandez par écrit à votre installateur si l’enregistreur accepte des connexions de l’extérieur, si l’UPnP est désactivé sur le routeur et si les mots de passe d’usine ont été changés sur chaque appareil. Insecam diffusait justement les caméras dont le mot de passe par défaut n’avait jamais été modifié.

Qu’est-ce qui a mal tourné chez NurseryCam ?

Selon le chercheur et les sources citées par The Register, tous les parents d’une garderie recevaient le même identifiant administrateur de l’enregistreur, visible dans le code de la page web, et les mots de passe des comptes étaient conservés en clair. Le service a été suspendu après la fuite.

Peut-on offrir aux parents de regarder leur enfant en direct ?

Le Commissariat fédéral a jugé une plainte réglée dans un cas où la garderie avait des mots de passe individuels désactivés au départ, une connexion chiffrée, des journaux surveillés et un engagement des parents de ne pas enregistrer. Avant d’offrir ce service, vérifiez d’abord que filmer est nécessaire : c’est le premier test de la Loi sur le privé.

Que faire si les images de nos caméras ont été vues par un inconnu ?

Coupez l’accès de l’enregistreur à Internet, inscrivez l’incident au registre exigé par l’article 3.8 de la Loi sur le privé et évaluez avec votre responsable le risque de préjudice sérieux. S’il est sérieux, vous avisez la CAI et les parents concernés avec diligence (article 3.5).

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *