Les systèmes industriels (OT - Operational Technology) et IoT ne sont plus isolés. Leur connexion aux réseaux IT les expose aux ransomwares, avec des impacts physiques catastrophiques : arrêt de production, destruction d’équipements, risques de sécurité humaine.
🎯 Objectif des attaquants : chiffrer les systèmes OT/ICS pour paralyser la production et maximiser la pression sur les victimes (pertes financières massives, risques de vie).
⚠️ Dans l’OT, la disponibilité prime sur la confidentialité. Toute mesure de sécurité doit être conçue pour ne jamais interrompre la production. Privilégiez le monitoring passif et les contrôles out-of-band.
🏭 Spécificité OT : Les systèmes industriels peuvent avoir 20-30 ans de durée de vie. Un automate installé en 2005 tourne encore en 2025, sans patch possible. La sécurité par compensation (segmentation, monitoring) est souvent la seule solution.
⚠️ Un ransomware sur OT peut causer des dommages physiques irréversibles et mettre des vies en danger. La segmentation IT/OT n’est pas une option, c’est une nécessité vitale.
🔎 Scénarios d’Attaque
1. Convergence IT/OT non sécurisée
- Vecteur : accès initial via réseau IT (phishing, VPN compromis)
- Propagation : pivot vers réseau OT via interconnexions mal segmentées
- Exploitation : déploiement de ransomware sur SCADA, HMI, automates
- Impact : arrêt complet de la production industrielle
2. Exploitation de vulnérabilités ICS/SCADA
- Vecteur : CVE non patchées sur systèmes industriels obsolètes
- Exploitation : RCE sur automates Siemens, Schneider, Rockwell
- Impact : modification de paramètres critiques, destruction physique d’équipements
3. IoT industriel compromis
- Vecteur : dispositifs IoT avec credentials par défaut ou firmware vulnérable
- Exploitation : botnet ICS (Mirai variants), passerelle vers réseau OT
- Impact : DDoS sur infrastructure critique, exfiltration de données process
4. Attaque supply chain sur firmware
- Vecteur : compromission de firmwares OT/IoT avant déploiement
- Exploitation : backdoor matériel, persistence au niveau firmware
- Impact : accès persistant indétectable, sabotage programmé
5. Manipulation de process industriels
- Vecteur : accès aux systèmes de contrôle (DCS, PLC)
- Exploitation : modification des setpoints, injection de commandes malveillantes
- Impact : destruction d’équipements, risques d’explosion/pollution, accidents industriels
🧪 Exemples d’Attaques Récentes (2020-2025)
| Incident | Cible | Technique | Impact | Référence |
|---|---|---|---|---|
| Colonial Pipeline (2021) | Oléoduc US (IT/OT) | Ransomware DarkSide via VPN compromise | Arrêt 6 jours, pénurie carburant côte Est, $4.4M rançon | CISA Advisory |
| JBS Foods (2021) | Industrie agroalimentaire | Ransomware REvil, pivot IT→OT | Arrêt 5 usines, 20% viande US, $11M rançon | Article du Monde |
| Oldsmar Water Treatment (2021) | Station traitement eau potable | Accès TeamViewer non sécurisé, manipulation NaOH | Tentative empoisonnement 15k habitants | IndustrialCyber.co |
| Norsk Hydro (2019) | Production aluminium | Ransomware LockerGoga, 22k postes | $75M pertes, arrêt 170 sites | Hydro.com |
| TSMC (2018) | Fabrication semi-conducteurs | WannaCry variant sur réseau production | $170M pertes, 3 jours arrêt | L’usine Digitale |
| Triton/Trisis (2017) | Raffinerie pétrochimique | Malware ciblant SIS Schneider | Arrêt sécurité, risque explosion | NCSC UK |
✅ Bonnes pratiques
🔐 Segmentation et isolation
Architecture réseau
- Modèle : segmentation stricte IT/OT sur 6 niveaux
- Niveau 0-1 : Process (automates, capteurs) - isolé
- Niveau 2 : Supervision (SCADA, HMI)
- Niveau 3 : MES (Manufacturing Execution System)
- Niveau 4-5 : ERP, IT entreprise
- DMZ industrielle : zone tampon entre IT et OT avec inspection profonde
- Unidirectionnalité : data diode (flux OT→IT uniquement) pour données critiques
- Micro-segmentation : VLANs dédiés par zone de production
Contrôles d’accès
- Zero Trust OT : authentication/authorization pour chaque accès
- Bastions durcis : point d’entrée unique et surveillé vers OT avec enregistrement des sessions
- MFA obligatoire : double authentification pour tout accès OT
🛡️ Durcissement et protection
Gestion des vulnérabilités
- Asset inventory : cartographie exhaustive de tous les équipements OT/IoT
- Vulnerability assessment : scans réguliers adaptés aux systèmes industriels
- Patch management OT : processus spécifique avec environnement de test
- Compensation des CVE : quand patch impossible, contrôles compensatoires
Sécurisation des systèmes
- Hardening OT : désactivation services inutiles, changement credentials par défaut
- Whitelist applicative : seuls les binaires autorisés peuvent s’exécuter
- Antivirus industriel : solutions compatibles temps-réel
- Backup offline : sauvegardes offsite et immuables des configurations critiques
IoT sécurisé
- Firmware signé : vérification cryptographique de l’intégrité
- Désactivation interfaces : pas de Telnet, SSH seulement si nécessaire
- Credentials robustes : génération aléatoire, rotation régulière, utilisation de vaults
- Isolation réseau : VLAN dédié IoT sans accès direct aux systèmes critiques
👁️ Détection et surveillance
Monitoring OT/ICS
- IDS/IPS industriel : détection d’anomalies protocoles OT (Modbus, DNP3, OPC)
- Baseline comportemental : alertes sur déviations des patterns normaux
- Threat intelligence OT : feeds spécifiques aux menaces industrielles
- SOC OT dédié : équipe formée aux spécificités des environnements industriels
Outils de visibilité
- Claroty / Nozomi Networks / Armis : plateformes de cybersécurité OT
- Passive monitoring : analyse trafic réseau sans impact sur production
- Asset tracking : détection automatique de nouveaux équipements
- Protocol analysis : inspection profonde des protocoles industriels
Détection de ransomware
- Détection chiffrement anormal : activité de chiffrement sur partages/systèmes OT
- Behavioral analytics : patterns de mouvement latéral IT→OT
- Honeypots OT : leurres imitant des automates pour détection précoce
- Alertes tempo : activités inhabituelles en heures creuses
🚨 Préparation et résilience
Plan de continuité OT
- Disaster Recovery Plan : procédures de reprise après incident OT
- Mode dégradé : capacité à opérer en manuel si nécessaire
- Hot/Cold standby : systèmes de secours pour équipements critiques
- Exercices réguliers : simulations d’attaques ransomware sur OT
Incident Response OT
- Playbook spécifique : procédures adaptées aux incidents OT
- Communication de crise : canaux dédiés (pas de dépendance IT)
- Expertise externe : contrats avec spécialistes ICS/SCADA
- Isolation rapide : capacité à déconnecter zones compromises en <15min
Formation et sensibilisation
- Awareness OT : formation spécifique pour opérateurs/ingénieurs
- Exercices red team : simulations d’attaques IT→OT
- Certification ICS : GICSP, GRID pour équipes sécurité
- Culture de sécurité : intégration sécurité dans processus opérationnels
📋 Checklist de sécurisation
✅ Immédiat
- Cartographier tous les assets OT/IoT et leurs interconnexions IT
- Identifier les chemins d’accès IT→OT existants
- Changer tous les mots de passe par défaut sur équipements OT/IoT
- Vérifier l’existence de backups offline des configurations critiques
- Désactiver les accès distants non essentiels (TeamViewer, VNC, RDP)
✅ Court terme
- Implémenter une segmentation réseau IT/OT stricte
- Déployer MFA sur tous les accès aux systèmes OT
- Mettre en place un monitoring passif du trafic OT
- Créer un inventaire exhaustif des vulnérabilités OT
- Former les opérateurs aux signaux d’attaque (ransomware, anomalies)
- Établir un plan d’isolation rapide en cas d’incident
✅ Moyen terme
- Déployer une plateforme de sécurité OT (Claroty/Nozomi/Dragos)
- Implémenter un SOC OT avec règles de détection spécifiques
- Mettre en place un processus de patch management OT
- Installer des data diodes pour systèmes ultra-critiques
- Réaliser un exercice red team IT→OT
- Documenter les procédures d’incident response OT
- Déployer des honeypots OT pour détection précoce
- Établir des contrats avec experts ICS/SCADA pour support d’urgence
✅ Long terme
- Certification ICS/SCADA pour équipe sécurité
- Architecture Zero Trust appliquée à l’environnement OT
- Renouvellement des équipements obsolètes non patchables
- Programme de threat hunting OT continu
- Conformité aux standards IEC 62443, NERC CIP, ISA/IEC
- Simulation de crise majeure (ransomware sur production)
- Audit de sécurité OT par organisme tiers
- Révision et optimisation continue du plan de continuité
🔗 Ressources complémentaires
Standards et frameworks
- IEC 62443 - Cybersécurité des systèmes d’automatisation industrielle
- NIST Cybersecurity Framework - Manufacturing Profile
- NERC CIP - Standards pour infrastructures électriques critiques
- ANSSI - Maîtriser la SSI pour les systèmes industriels
Organismes et alertes
- CISA ICS-CERT - Alertes et advisories ICS/SCADA
- ANSSI CERT-FR - Alertes de sécurité France
Outils et ressources techniques
- Scapy - Manipulation de protocoles réseau dont protocoles OT
- ISA/IEC 62443 Standards - Guide complet des standards
Articles et analyses
Formations et certifications
- GIAC GICSP - Global Industrial Cyber Security Professional