Testez votre adresse :
Le 29 décembre 2025, une entreprise de production polonaise a vu de nombreux ordinateurs effacés par un logiciel destructeur. L’Office fédéral de la cybersécurité (OFCS) détaille l’attaque dans son rapport semestriel publié le 24 août 2026. L’entrée ne s’est pas faite par une machine de l’atelier. Elle s’est faite par le pare-feu de l’entreprise, dont la configuration et les mots de passe avaient été volés lors d’un incident antérieur et circulaient librement sur un forum criminel. Selon l’OFCS, cette victime semble avoir été choisie par opportunité, parce qu’une porte était ouverte.
Le même jour, la même campagne visait des parcs éoliens et solaires et une centrale de chauffage. Les accès distants y étaient exposés à Internet sans authentification forte, les mots de passe réutilisés d’un équipement à l’autre, et certains étaient encore ceux d’usine. L’OFCS précise qu’aucun sabotage de ce type contre une cible suisse ne lui est connu. La leçon reste valable partout : l’attaquant ne cible pas nécessairement l’automate en premier. Il exploite souvent le réseau, les accès distants ou les systèmes informatiques qui permettent ensuite d’atteindre l’atelier.
La sécurité OT protège des processus physiques, pas seulement des données. Sa priorité est la disponibilité et la sûreté de l’installation, là où l’informatique de gestion place d’abord la confidentialité.
L’OT, Operational Technology, désigne les équipements qui pilotent la production, automates programmables, systèmes de supervision SCADA, interfaces opérateur, capteurs et variateurs. L’OFCS le résume ainsi, sécuriser les systèmes de contrôle industriels protège non seulement les données, mais aussi l’infrastructure, les processus et les personnes.
Trois différences expliquent les enjeux spécifiques de la sécurité OT.
D’où une conséquence simple. En OT, une bonne partie de la sécurité ne peut pas être installée dans l’équipement, elle doit l’être autour, dans le réseau.
Par les points de contact entre l’usine et l’extérieur, le pare-feu périmétrique, les accès distants, les comptes partagés et les mots de passe jamais changés. Dans les trois attaques décrites par l’OFCS, aucune ne commence par un automate.
Le scénario se répète : les hackers exploitent des identifiants valides, volés, réutilisés ou laissés par défaut. ls entrent par un VPN ou une interface d’administration exposée, désactivent les outils susceptibles de les gêner, puis se déplacent vers les systèmes qui comptent. Dans le cas de la centrale de chauffage, il a pris environ un mois pour cartographier le réseau et repérer les systèmes capables d’atteindre les commandes industrielles.
Un détail du rapport mérite l’attention des responsables d’exploitation. Avec les identifiants volés, les attaquants ont aussi fouillé la messagerie et les espaces de documents partagés des victimes, à la recherche de fichiers sur l’OT et le SCADA. Les schémas réseau, les adresses des automates et les procédures de maintenance exposent des informations précieuses aux attaquants et facilitent l’exploitation des vulnérabilités logicielles.
Non, parce que c’est rarement possible et presque jamais vrai. Dès qu’un MES, un ERP ou un outil de maintenance lit des données de l’atelier, l’isolement total n’existe plus. Ce qui protège, c’est un point de passage contrôlé, intégré à un cadre de gestion des flux entre l’usine et le reste du système d’information.
L’OFCS demande que les réseaux industriels et bureautiques soient strictement séparés, ou cloisonnés par un concept de zones clairement défini. C’est la seconde option qui correspond à la réalité de la plupart des sites.
Le modèle Purdue est une représentation en couches, répandue dans l’industrie, qui sert de carte avant de tracer des frontières. Ce n’est pas une norme, c’est une grille de lecture.
| Niveau | Contenu | Exemple |
|---|---|---|
| 0 et 1 | Le processus et son pilotage direct | Capteurs, actionneurs, automates |
| 2 | La supervision de l’atelier | SCADA, interfaces opérateur |
| 3 | Les opérations du site | MES, historisation, gestion de production |
| 3,5 | La zone d’échange | DMZ industrielle |
| 4 et 5 | L’informatique de l’entreprise | ERP, messagerie, accès Internet |
La règle tient en une phrase. Aucun flux ne traverse directement des niveaux 4 et 5 vers les niveaux 0 à 2. Tout passe par la zone d’échange.
La DMZ industrielle est une zone tampon entre l’informatique de gestion et l’atelier. Elle héberge ou relaie les services nécessaires aux échanges entre les deux mondes, sans autoriser de communication directe et non contrôlée entre l’ERP, les postes bureautiques et les équipements industriels. Les accès distants passent idéalement par un bastion de télémaintenance et les flux autorisés sont explicitement filtrés et journalisés.
La norme internationale IEC 62443 formalise la même idée sous les noms de zones et de conduits. Une zone regroupe des équipements de même niveau de confiance, un conduit est le seul chemin autorisé entre deux zones, avec ses règles de filtrage. Le vocabulaire est utile pour parler avec un intégrateur. L’essentiel est de savoir, pour chaque flux, d’où il part, où il arrive et pourquoi.
Par un réseau privé qui ne transite pas par Internet, avec un niveau de service contractuel et une priorité donnée aux flux de production.
Un réseau MPLS relie les sites dans un réseau privé de bout en bout. La convergence entre connectivité et cybersécurité permet de mieux maîtriser les échanges entre les sites industriels et le système d’information. Chez CELESTE, le service est garanti par un SLA de 99,95 % de disponibilité avec un temps de rétablissement de 4 heures, et il distingue six classes de service. Ces classes permettent de faire passer les flux de supervision avant les transferts de fichiers ou la vidéo, ce qui compte quand un écran de contrôle dépend du lien. CELESTE s’appuie en Suisse sur ses propres infrastructures et sur l’expertise historique de ses équipes dans les services télécoms aux entreprises.
Un réseau privé ne remplace pas la segmentation à l’intérieur du site. Il garantit que le trafic entre l’usine et le siège ne croise pas Internet, pas que l’ERP ne peut pas parler à un automate. Les deux se complètent, le MPLS entre les sites, la DMZ industrielle à l’entrée de chaque atelier.
Reste la question du lien qui tombe. Pour une usine dont la production dépend de données du siège, la redondance d’un réseau multi-sites se décide par l’indépendance du chemin physique, pas par le nombre de liens.
En la faisant passer par un accès unique, nominatif, chiffré, avec une authentification à deux facteurs, et ouvert seulement quand il sert. L’OFCS est explicite, les accès à distance ne doivent être autorisés que par VPN avec authentification à deux facteurs, et le principe du moindre privilège s’applique aussi aux sociétés de maintenance externes.
C’est là que se cachent les accès que personne ne recense. Un modem installé par un intégrateur il y a des années, un logiciel de prise en main à distance laissé actif sur un poste de supervision, un compte partagé par tous les techniciens d’un fournisseur. Ces accès constituent autant de portes d’entrée potentielles pour les menaces. Chacun est une porte vers l’atelier, et aucun n’apparaît sur le schéma réseau officiel.
| Pratique courante | Pratique recommandée |
|---|---|
| Accès permanent, toujours ouvert | Accès ouvert pour une intervention, puis refermé |
| Un compte partagé par fournisseur | Un compte par technicien, nominatif |
| Mot de passe seul | Authentification à deux facteurs |
| Connexion directe à l’automate ou au SCADA | Connexion via un bastion de télémaintenance placé dans une zone d’accès contrôlée |
| Aucune trace | Session journalisée : identité de l’intervenant, horaire, système consulté et actions effectuées |
L’OFCS ajoute que les interfaces d’administration ne doivent jamais être joignables directement depuis Internet. C’est exactement ce qui a été exploité sur les sites énergétiques polonais.
La détection des menaces repose sur la connaissance du comportement normal du réseau et l’analyse des écarts. Un réseau industriel présente généralement des communications plus régulières et prévisibles qu’un réseau bureautique. Une connexion nouvelle s’y voit, à condition que quelqu’un regarde.
L’OFCS recommande de collecter les journaux de toutes les catégories de systèmes de façon centralisée, de définir une ligne de base des événements normaux et d’examiner tout écart. Il ajoute qu’un équipement inconnu qui se connecte devrait déclencher une alerte automatique, et que les attaques réussies ne sont souvent découvertes que des mois plus tard, d’où l’importance de conserver les journaux assez longtemps.
SOC : Une équipe d’exploitation n’a ni le temps ni les outils pour lire ces journaux en continu. Une partie de cette surveillance peut être confiée à un SOC, à condition que les équipements concernés transmettent des journaux exploitables ou que des sondes adaptées soient intégrées au périmètre. Le SOC corrèle les événements issus du réseau, des serveurs et des postes afin de détecter les menaces. La visibilité sur les protocoles industriels peut nécessiter des outils spécialisés complémentaires. Dans le cas de la centrale de chauffage polonaise, c’est un outil de détection sur les postes de travail qui a bloqué le logiciel destructeur avant qu’il ne cause des dégâts étendus.
Les protéger par le réseau, puisqu’on ne peut pas les protéger de l’intérieur. Un automate dont le fabricant ne publie plus de correctifs, ou qu’on ne peut pas redémarrer sans arrêter la production, se met dans une zone dont rien ne sort et où rien n’entre sans raison.
L’OFCS recommande un inventaire logiciel et une gestion des correctifs, des vulnérabilités logicielles et du cycle de vie, ainsi que la liste blanche sur les équipements critiques, qui n’autorise que les programmes connus et approuvés. Là où le correctif est impossible, trois mesures compensent.
Elles dépendent du secteur. Les obligations précises visent les infrastructures critiques. Pour les organisations qui n’entrent pas dans le périmètre des infrastructures critiques, ces référentiels ne constituent pas nécessairement une obligation réglementaire directe. D’autres obligations légales, contractuelles ou sectorielles peuvent néanmoins s’appliquer.
Un industriel qui livre l’énergie, l’eau ou l’alimentation a intérêt à vérifier s’il entre dans ce périmètre. Les autres disposent avec la norme minimale d’une grille de lecture complète et gratuite, qui permet de situer leur niveau sans partir de zéro.
L’OFCS le rappelle, la sécurité n’est pas un projet ponctuel mais un processus continu, et il faut commencer par les mesures qui demandent peu d’effort et apportent beaucoup.
CELESTE relie des sites d’entreprise en Suisse sur son propre réseau, avec des équipes à Genève, Lausanne, Bâle, Zurich et Berne. Nos équipes constatent que les sites les mieux protégés ne sont pas ceux qui ont le plus d’équipements de sécurité, mais ceux qui savent exactement qui peut entrer, par où et quand.
Les équipes CELESTE vous accompagnent pour sécuriser les interconnexions entre vos sites, maîtriser les accès distants et renforcer la surveillance des composants IT qui donnent accès à vos environnements industriels.
Unsere Datenschutzbestimmungen einschliesslich unserer Online-Datenschutzerklärung sowie die Möglichkeiten zum Widerruf der Datenverarbeitung oder zur Abbestellung von Newslettern finden Sie hier: Datenschutzbestimmungen
