Incidents de cybersécurité industrielle : ce qu’enseignent les cas publics

Le 23 décembre 2015, dans l’ouest de l’Ukraine, des opérateurs de distribution d’électricité voient le curseur de leur poste de supervision se déplacer seul et ouvrir, un par un, des disjoncteurs. Plusieurs centaines de milliers d’abonnés perdent le courant pendant quelques heures. Le réseau est rétabli à la main, par des équipes envoyées dans les postes. Neuf ans plus tard, cet épisode reste l’un des incidents de cybersécurité industrielle les mieux documentés, et l’un des plus instructifs.

Ce travail de synthèse relit une dizaine d’incidents publics, choisis parce qu’ils ont donné lieu à des analyses détaillées par des autorités ou des équipes de recherche reconnues. L’objectif n’est pas de faire peur, mais de répondre à une question pratique : qu’est-ce que ces cas apprennent à l’exploitant d’une usine, d’un réseau d’eau ou d’un réseau de chaleur ?

Le corpus : ce qui a été rendu public

Le tableau rassemble les cas retenus, avec le vecteur d’entrée décrit dans les analyses publiques et l’enseignement principal que nous en tirons.

Un cas souvent cité a été volontairement écarté : l’intrusion signalée en 2021 dans une station de traitement d’eau d’Oldsmar, en Floride, dont l’origine externe a ensuite été remise en question publiquement. Il illustre une limite de l’exercice sur laquelle nous reviendrons.

Six enseignements qui reviennent

La production s’arrête souvent à cause de l’informatique de gestion

Dans les cas de NotPetya, de Norsk Hydro et de Colonial Pipeline, les attaquants n’ont pas visé les automates. Ils ont paralysé l’informatique de gestion : messagerie, planification, facturation, gestion des commandes. La production s’est arrêtée parce qu’elle dépendait de ces systèmes, ou parce que l’exploitant ne pouvait plus garantir que l’infection n’avait pas atteint le réseau industriel. C’est l’enseignement le plus important du corpus : la résilience d’une usine se joue autant dans ses dépendances que dans ses automates.

Les accès à distance sont la porte principale

Identifiants VPN volés en Ukraine, logiciels de prise en main à distance, automates directement accessibles depuis Internet avec leur mot de passe d’usine : le chemin d’entrée le plus fréquent n’a rien d’exotique. La télémaintenance par les fournisseurs, indispensable au quotidien, est rarement inventoriée, encore plus rarement protégée par une authentification forte.

Les attaquants avancés parlent la langue des automates

Industroyer en 2016, Pipedream en 2022, FrostyGoop en 2024 : chacun de ces outils savait dialoguer avec des équipements industriels à travers leurs protocoles d’origine (IEC 60870-5-104 et IEC 61850 pour le premier, Modbus TCP pour le dernier). Ces protocoles ont été conçus pour des réseaux fermés et ne vérifient pas, pour la plupart, qui envoie une commande. Une fois dans le réseau, l’attaquant n’a pas besoin de « pirater » l’automate : il lui suffit de lui parler.

Les systèmes de sécurité instrumentés ne sont pas un sanctuaire

Triton visait le système instrumenté de sécurité, celui dont la fonction est de mettre l’installation en état sûr lorsque le procédé dérive. L’attaque a été découverte parce que ce système a déclenché un arrêt. Les analyses publiques ont noté que le sélecteur physique du contrôleur était resté dans une position autorisant la modification du programme. Une mesure aussi simple qu’un sélecteur à clé verrouillé réduit fortement ce risque.

L’écran peut mentir

Stuxnet modifiait le comportement des automates tout en renvoyant aux opérateurs des valeurs normales. L’enseignement dépasse ce cas : une mesure critique doit pouvoir être vérifiée par un moyen indépendant de la chaîne numérique qui la produit, qu’il s’agisse d’un instrument local, d’une seconde chaîne de mesure ou d’une ronde.

Le mode manuel limite les dégâts

En Ukraine en 2015, le courant a été rétabli parce que les équipes savaient encore manœuvrer les postes à la main. Chez Norsk Hydro, plusieurs sites ont poursuivi leur activité en mode manuel ou dégradé, et l’entreprise a communiqué ouvertement pendant la crise. La capacité à fonctionner sans le numérique, pendant quelques heures ou quelques jours, se prépare : procédures papier, exercices, compétences entretenues.

Pourquoi les installations restent exposées

Ces enseignements ne sont pas nouveaux : les premières analyses publiques datent de plus de dix ans. S’ils restent d’actualité, c’est que les installations industrielles obéissent à des contraintes que l’informatique de gestion connaît peu.

La première est la durée de vie. Un automate, un poste de supervision ou un variateur restent souvent en service quinze ou vingt ans, parfois davantage. Les systèmes d’exploitation des postes opérateurs ne sont plus maintenus depuis longtemps, et le remplacement d’un équipement suppose de requalifier une partie de l’installation.

La deuxième est la priorité donnée à la disponibilité. Dans une usine ou un réseau, arrêter une ligne pour appliquer un correctif a un coût immédiat et certain, quand le risque cyber paraît lointain et hypothétique. Les mises à jour attendent l’arrêt technique annuel, quand elles ne sont pas simplement écartées faute de validation par le constructeur.

La troisième est la multiplicité des intervenants. Intégrateurs, constructeurs de machines, sociétés de maintenance : chacun a besoin d’un accès, souvent à distance, et chacun apporte ses outils et ses ordinateurs portables. La surface d’exposition dépend autant de ces tiers que de l’exploitant lui-même.

La quatrième, enfin, est organisationnelle. La sécurité de l’informatique de gestion relève de la DSI ; celle des installations, de la production ou de la maintenance. Entre les deux, les liaisons, les postes de télémaintenance et les serveurs d’échange de données n’ont souvent pas de responsable clairement désigné. Plusieurs incidents du corpus ont prospéré précisément dans cet entre-deux.

Les limites d’un corpus public

Ces enseignements doivent être lus avec trois précautions.

Le biais de publication. Un incident devient public quand la victime le déclare, quand une autorité l’impose, ou quand un éditeur de sécurité le publie. Les attaques réussies contre des entreprises discrètes, et les incidents sans conséquence visible, échappent au corpus. Il renseigne sur les mécanismes, pas sur les fréquences.

La fiabilité des premiers récits. Le cas d’Oldsmar le montre : la version initiale d’un incident peut être révisée des mois ou des années plus tard. Les analyses détaillées, publiées après enquête, valent mieux que les dépêches du premier jour.

L’attribution. Les rapports désignent parfois des groupes liés à des États. Pour l’exploitant, cette information compte moins que le mode opératoire : un vecteur exploité par un attaquant sophistiqué finit, tôt ou tard, à la portée d’attaquants qui le sont moins.

Des enseignements aux mesures

Rapportés aux référentiels existants, notamment la série IEC 62443 et les guides de l’ANSSI et du NIST, ces cas conduisent à un socle de mesures que tout exploitant peut évaluer chez lui.

Connaître ce que l’on protège : un inventaire des automates, des postes de supervision, des liaisons et des accès à distance, tenu à jour. Séparer : des zones distinctes pour la bureautique et la production, reliées par des passages contrôlés, ce que la norme appelle des « conduits ». Contrôler les accès à distance : un point d’entrée unique, une authentification forte, des sessions ouvertes à la demande et journalisées. Sauvegarder : les programmes et configurations des automates, hors ligne, avec des restaurations testées. Surveiller : des sondes capables de comprendre les protocoles industriels et de repérer une commande inhabituelle. S’entraîner : des exercices de fonctionnement dégradé, avec les équipes de production et pas seulement l’informatique.

La question à se poser après cette lecture n’est donc pas « sommes-nous une cible ? », mais « lequel de ces six enseignements ne serions-nous pas capables de démontrer demain matin ? ». C’est précisément le point de départ de notre expertise industrie et automates, menée avec notre pôle cybersécurité et conformité.

1. E-ISAC et SANS ICS, analyse de la cyberattaque contre le réseau électrique ukrainien, mars 2016.
2. BSI (Office fédéral allemand de la sécurité de l’information), rapport annuel sur l’état de la sécurité informatique en Allemagne, 2014.
3. ESET, analyse du logiciel malveillant Industroyer, juin 2017 ; Dragos, analyse de CrashOverride, juin 2017.
4. CISA, DOE, NSA et FBI, avis conjoint AA22-103A sur les outils visant des systèmes industriels, avril 2022.
5. CISA, avis sur l’exploitation d’automates Unitronics dans le secteur de l’eau, novembre 2023.
6. Dragos, rapport sur FrostyGoop, juillet 2024.
7. ANSSI, La cybersécurité des systèmes industriels : méthode de classification et mesures principales, 2014.
8. NIST, SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security, 2023.
9. IEC, série 62443, sécurité des systèmes d’automatisation et de contrôle industriels.

Questions fréquentes

Les incidents publics sont-ils représentatifs ?

Non. Ils représentent les cas que les victimes, les autorités ou les éditeurs de sécurité ont choisi ou été obligés de rendre publics. Les incidents mineurs et ceux qui touchent des entreprises discrètes restent largement invisibles. Les enseignements valent pour les mécanismes, pas pour les fréquences.

Une installation non connectée à Internet est-elle protégée ?

Pas suffisamment. Stuxnet s'est propagé par supports amovibles, et beaucoup d'installations prétendument isolées comportent en réalité des accès de télémaintenance, des liaisons avec l'informatique de gestion ou des postes portables de maintenance.

Par où commencer pour une usine qui n'a rien fait ?

Par l'inventaire des équipements et des flux, puis la fermeture ou la sécurisation des accès à distance et la sauvegarde hors ligne des programmes d'automates. Ces trois mesures répondent à une grande partie des scénarios observés.

Quelle norme suivre en cybersécurité industrielle ?

La série IEC 62443 est la référence internationale pour les systèmes d'automatisation et de contrôle industriels. En France, l'ANSSI publie une méthode de classification et des mesures détaillées ; aux États-Unis, le NIST publie le guide SP 800-82.