Сам по себе IoT не плох. Плохо то, что подавляющее большинство решений для него реализуется через сервер у дяди, которому полагается полностью доверять, больше, чем самому себе.
Когда же сервер свой, аутентификация на нем исключительно через pre-shared keys и двухфакторную авторизацию (хоть через ту же телегу), а весь обмен с сервером и сервера с устройствми - по защищенному симметричным шифрованием каналу (хоть по тому же легковесному ГОСТ 28147-89), тогда риски уже становятся приемлемыми.