Encore peu d'articles de presse en ont fait l'écho. Depuis l'été 2025, un groupe de pirates informatiques militaires russes s'attaque aux routeurs, ces boîtiers qui distribuent Internet dans nos foyers et nos entreprises. Selon les renseignements britanniques et allemands, ils ont infiltré plusieurs milliers d'appareils dans le monde pour rediriger secrètement le trafic vers des serveurs malveillants sous leur contrôle.

Ce groupe, connu sous les noms de code APT28, Fancy Bear ou Forest Blizzard et lié au GRU (renseignement militaire russe), cherche à espionner des cibles stratégiques. Et le phénomène dépasse la seule menace étatique. En Finlande, la Skyddspolisen, la police de sécurité locale, a alerté sur des routeurs mal protégés installés dans des logements ordinaires et qui ont pu servir, à l'insu de leurs propriétaires, à masquer du trafic d'espionnage et à compliquer l'identification des pirates. La France, elle, n'est pas épargnée : le 9 avril dernier, plus de 12 000 appareils étaient recensés à Paris comme vulnérables, rapportait l'Opinion.

Face à ces menaces, l'Union européenne réagit avec le Cyber Resilience Act (CRA), un nouveau règlement qui va s'appliquer très bientôt aux pays membres. Son objectif : "élever le niveau de cybersécurité de l'ensemble des produits comportant des éléments numériques mis sur le marché européen", qu'il s'agisse de routeurs, d'ordinateurs ou de téléphones.

Fabricants, importateurs et distributeurs devront livrer des appareils sans vulnérabilité connue, fournir des mises à jour de sécurité gratuites pendant au moins cinq ans et informer les utilisateurs des risques. Le règlement instaure aussi une gestion continue des failles en interne. Pour les produits les plus sensibles, une évaluation par des organismes tiers sera exigée, et le marquage CE attestera de la conformité au CRA pour la mise sur le marché.

L'application complète du règlement est prévue en décembre 2027, mais une première échéance clé arrive ce vendredi 11 septembre 2026 : dès qu'une vulnérabilité est activement exploitée, le fabricant devra la notifier auprès de l'Agence de l'Union européenne pour la cybersécurité (ENISA), laquelle transmettra à l'autorité nationale compétente, en France le service national français de cybersécurité (CERT-FR) dépendant de  l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Une première alerte doit être émise sous 24 heures, une notification complète sous 72 heures et un rapport final sous 14 jours.

Et les contrevenants risquent gros : les amendes peuvent atteindre 15 millions d'euros ou 2,5% de leur chiffre d'affaires annuel, voire le retrait de leurs produits du marché européen. Pour les particulier, il n'est pas nécessaire pour autant de remplacer le vieux routeur installé à domicile, le règlement s'adressant aux fabricants et aux nouveaux produits mis en vente. Veillez tout de même à remplacer votre appareil s'il ne reçoit plus de correctifs de sécurité du fabricant ou lorsqu'il est devenu obsolète et ne prend plus en charge les standards de sécurité récents, ce qui survient souvent après quelques années et le rend très vulnérable.