Hikvision interdite depuis seize mois par Ottawa ; plus de 28 700 caméras restent en ligne sur l'Internet public canadien

*Ottawa a interdit Hikvision▼−0.09% — Hikvision, down 0.09 percent today il y a seize mois. Pourtant, 28 700 appareils restent en ligne, des organismes publics font toujours tourner les caméras, et l'Ukraine vient d'enregistrer une flambée de tentatives d'exploitation de neuf jours contre le même micrologiciel. Ce n'est pas l'interdiction qui fait bouger l'argent : c'est l'écart entre l'interdiction et son application.*

Le dossier est désormais public, et il a tout d'une étude de cas du retard d'application. Hikvision s'est constituée en société au Canada en 2014 et y a commencé à vendre en 2015, sans la notification obligatoire au titre de la sécurité nationale auprès d'Innovation, Sciences et Développement économique Canada (ISDE). Elle a ainsi bâti « illégalement » une position de leader du marché pendant près d'une décennie, avant même que le ministère n'ouvre un examen en 2024↗ ¹. Dans une alerte datée de novembre 2022, le Service canadien du renseignement de sécurité (SCRS) avertissait que ces caméras pouvaient servir de plateforme de collecte du renseignement pour la Chine ; une douzaine de ministères fédéraux utilisaient encore ce matériel en 2024 ¹.

Une interdiction qui n'a pas débranché les caméras

En juin 2025, la ministre de l'Industrie Mélanie Joly ordonnait à Hikvision de plier bagage, avec 120 jours pour mettre fin à ses activités canadiennes↗, et interdisait à tout ministère, organisme et société d'État fédéraux d'acheter ou d'utiliser ces équipements ². Plus d'un an plus tard, le Conseil national de recherches du Canada et l'Administration du pont Windsor-Détroit affirment que les caméras fonctionnent toujours — celles de l'Administration du pont jusqu'en novembre 2026 —, et cinq organismes, dont l'Agence spatiale canadienne et Emploi et Développement social Canada, refusent de dire si, oui ou non, ils s'y sont conformés ². Après l'ordonnance, Shodan a recensé plus de 28 700 équipements Hikvision sur des connexions Internet canadiennes exposées au public ¹.

Le parc installé, un passif toujours vivant

Ce passif n'a rien de théorique. GreyNoise a relevé une flambée de tentatives d'exploitation de neuf jours contre des caméras Hikvision en Ukraine↗ entre le 21 septembre et le 1er octobre 2026. Les attaques ciblaient la faille CVE-2021-36260, une vulnérabilité critique d'injection de commandes, exploitable sans authentification, notée 9,8 sur l'échelle CVSS, et que le CISA — l'agence américaine de cybersécurité — avait inscrite dès janvier 2022 sur sa liste des failles connues pour être exploitées ⁴. Le trafic provenait de quatre adresses IP, dont trois points de sortie PureVPN en Lituanie, et ne véhiculait que des commandes de test : il s'agissait de reconnaissance, non d'une compromission confirmée ³⁴. Mais, en janvier 2024, les autorités ukrainiennes ont découvert deux caméras compromises utilisées pour épier les défenses antiaériennes de Kiev — de quoi mesurer ce que vaut ce type de faille sur un champ de bataille actif ⁴. Dans le même temps, la police de Tcherkassy prévoit de consacrer 89 millions de hryvnias à l'installation de caméras↗ d'un fabricant inscrit sur la liste ukrainienne des sponsors de la guerre ³.

Qui gagne, qui paie

Pour les investisseurs, tout se joue dans cet écart entre l'interdiction et son application. Des interdictions qui laissent le parc installé en place prolongent le risque sécuritaire documenté, tandis que la demande de remplacement profite aux fabricants de caméras et aux éditeurs de logiciels de sécurité non chinois. La Montréalaise Genetec a pris ce parti très tôt : la société a retiré le matériel Hikvision de sa plateforme dès 2016, après des incidents répétés, et son vice-président Andrew Elvish qualifie toujours ces caméras de « bombes à retardement » et dénonce une culture de dérogations permanente, qui continue d'orienter ses clients — et leurs budgets — vers des équipements occidentaux conformes ¹.

Dans la colonne des perdants figurent les acheteurs qui font encore tourner des micrologiciels non corrigés, porteurs de la faille de 2021, ainsi que les actionnaires minoritaires du titre Hikvision coté à Shenzhen (002415.SZ). Le 9 octobre, la société a annoncé que la partie agissant de concert avec son actionnaire de contrôle prévoit un placement privé d'obligations d'entreprise échangeables↗. L'information tient en une ligne : l'actionnaire de référence se prépare à lever de la dette convertible en les actions mêmes que détiennent ces minoritaires ⁵. Ce nouveau papier tombe alors que la société poursuit son combat devant la Cour fédérale : en septembre 2025, un juge a refusé de suspendre l'interdiction et, lors d'une audience en septembre de cette année, les deux parties ont déclaré à la cour négocier un règlement qu'elles espèrent conclure d'ici décembre ¹. Cette échéance de décembre est l'événement daté à surveiller. Un règlement qui laisserait Hikvision poursuivre ses activités remettrait en cause le fondement même de l'interdiction ; sa confirmation resserrerait à l'inverse l'étau sur un titre que son actionnaire de référence étatique serait en train de monétiser, selon la même information ⁵.