Attaques ransomware sur usines : cas types et prévention

1. Pourquoi les usines sont devenues des cibles prioritaires

Pendant longtemps, les systèmes industriels — SCADA, automates programmables (PLC), DCS, supervision — étaient considérés comme protégés par leur isolement physique du réseau bureautique. La convergence IT/OT des dix dernières années a fait voler ce modèle en éclats : MES connectés à l'ERP, télémaintenance des machines, supervision déportée, jumeaux numériques.

Pour un attaquant, une usine présente un profil économique très favorable. Chaque heure d'arrêt de production se chiffre en dizaines, parfois en centaines de milliers d'euros. La supply chain en flux tendu transforme l'incident local en menace contractuelle pour des dizaines de clients. La pression à payer rapidement est donc structurellement plus forte que dans une banque ou une administration.

Le tournant historique reste NotPetya (juin 2017), wiper déguisé en ransomware diffusé via une mise à jour d'un logiciel comptable ukrainien (M.E.Doc). Les dégâts collatéraux frappent Maersk, Mondelez, Merck, le verrier français Saint-Gobain et FedEx (TNT) : la Maison Blanche a estimé le coût mondial à environ 10 milliards de dollars. Depuis, l'industrie est entrée durablement dans la cartographie des menaces des grands rapports (Dragos, Claroty, ENISA, IBM X-Force).

Plusieurs facteurs aggravants sont systématiquement cités dans les rapports sectoriels :

• Patchs OT rares : un automate Siemens, Schneider ou Rockwell n'est patché que pendant une fenêtre de maintenance planifiée, parfois annuelle.
• Authentification faible côté OT : pas de MFA sur les HMI, comptes partagés, mots de passe constructeur encore en place.
• Active Directory unifié IT/OT : un compte admin compromis dans la bureautique donne souvent accès au domaine industriel.
• Ressources cyber concentrées sur l'IT bureautique : les RSSI/CISO ont historiquement peu de visibilité sur les sites de production.
• Dépendance à un seul site : pour de nombreux groupes, l'arrêt d'une seule usine peut paralyser la facturation mondiale.

2. Comment se déroule typiquement une attaque ICS/OT

Les rapports de réponse à incident (Mandiant M-Trends, IBM X-Force, Dragos) décrivent un déroulé désormais très stéréotypé. La majorité des attaques visant les usines suivent une chaîne quasi identique, avec une compromission qui démarre côté IT et ne migre que tardivement — voire jamais — vers l'OT.

Côté acteurs, le paysage est dominé par des collectifs en Ransomware-as-a-Service (RaaS) : l'opérateur développe le code et l'infrastructure, les affiliés mènent les intrusions et se partagent la rançon (typiquement 70/30 ou 80/20). Parmi les groupes les plus documentés par la CISA et l'ANSSI ces dernières années : LockBit (partiellement démantelé par l'Operation Cronos en février 2024), BlackCat/ALPHV, Cl0p, Royal/BlackSuit, Akira, Play, RansomHub.

3. Vecteurs d'entrée typiques en milieu industriel

Les rapports d'incident convergent : la majorité des intrusions menant à un ransomware en environnement industriel commencent par quatre familles de vecteurs. Aucun n'est spécifique à l'OT — mais leur exploitation a des conséquences disproportionnées en usine.

Répartition indicative des vecteurs d'accès initial observés dans les incidents ransomware suivis par Mandiant (M-Trends 2024). Les pourcentages varient légèrement d'un rapport à l'autre (IBM X-Force, Sophos) mais la hiérarchie reste cohérente.

3.1 Exploitation de vulnérabilités exposées sur Internet

Les passerelles d'accès distant constituent la cible n°1. La CISA a émis des alertes nominales sur de nombreuses CVE critiques utilisées à grande échelle ces dernières années : CVE-2023-27350 (PaperCut), CVE-2023-34362 (MOVEit, exploitée par Cl0p), CVE-2023-3519 (Citrix NetScaler), CVE-2024-3400 (Palo Alto GlobalProtect), CVE-2024-21887/46805 (Ivanti Connect Secure), plusieurs CVE Fortinet FortiOS/FortiGate.

En usine, ces équipements servent fréquemment à connecter les sites distants, les sous-traitants de maintenance ou les ingénieurs en astreinte. Une compromission donne donc un point d'appui directement à l'intérieur du réseau bureautique du site industriel.

3.2 Phishing & vol de credentials

Mail avec pièce jointe Office macroée, lien vers un faux portail Microsoft 365, kit AiTM (adversary-in-the-middle) capable de récupérer le cookie de session malgré un MFA. Les credentials récupérés sont ensuite utilisés sur les VPN, l'extranet ou les outils SaaS — souvent revendus sur des marchés clandestins comme initial access.

3.3 Accès distants tiers (télémaintenance fournisseurs)

Beaucoup de machines-outils, robots ou lignes complètes sont sous contrat de télémaintenance constructeur. Les accès distants associés (TeamViewer, AnyDesk, VPN site-to-site, Bomgar/BeyondTrust, RDP wrappé) sont rarement protégés par MFA et n'apparaissent pas toujours dans l'inventaire SSI du donneur d'ordre.

3.4 Médias amovibles & clés USB de maintenance

Vecteur historique toujours actif : clé USB d'un prestataire branchée tour à tour sur un poste bureautique infecté puis sur un PG (programming gateway) raccordé à un automate. Le risque n'est plus tant l'auto-exécution (largement bloquée) que le transport de binaires malveillants par un opérateur de confiance.

4. Conséquences réelles, coûts et cadre réglementaire

Le coût d'une attaque ransomware sur une usine se décompose en plusieurs strates rarement mises bout à bout dans les communiqués officiels. La perte de production reste, de loin, le premier poste.

Côté cadre réglementaire français et européen, plusieurs régimes se cumulent depuis l'entrée en application de la directive NIS2 (transposée en France en 2024-2025) :

• NIS2 : étend largement le périmètre aux entités essentielles et importantes — notamment dans la manufacture critique, la chimie, l'agroalimentaire, la pharmacie. Obligations de gouvernance, gestion des risques, notification d'incident à 24 h / 72 h, sanctions financières.
• Loi de Programmation Militaire (LPM) : régime français des Opérateurs d'Importance Vitale (OIV) et Systèmes d'Information d'Importance Vitale (SIIV), sous contrôle de l'ANSSI.
• RGPD : si des données personnelles (salariés, sous-traitants, clients) sont exfiltrées — quasi systématique en double extorsion — notification à la CNIL sous 72 h et information des personnes concernées le cas échéant.
• Article 323-1 et suivants du Code pénal : qualifie pénalement les atteintes aux systèmes de traitement automatisé de données ; le dépôt de plainte est un préalable utile, notamment pour l'assurance.

5. Bonnes pratiques de prévention (IEC 62443, ANSSI, NIS2)

La référence internationale est la série de normes IEC 62443 (anciennement ISA-99), complétée en France par les guides de l'ANSSI (« La cybersécurité des systèmes industriels », classification SI industriels) et, côté détection, par le référentiel MITRE ATT&CK for ICS. La directive NIS2 reprend très largement cette logique.

Le cadre conceptuel le plus utilisé pour structurer l'architecture est le modèle Purdue, qui hiérarchise les systèmes en niveaux 0 à 5 et place une DMZ industrielle au niveau 3.5, à la frontière entre IT et OT.

5.1 Le socle des 7 « must-have » selon l'ANSSI et la CISA

• Cartographie complète de l'IT et de l'OT (asset inventory exhaustif, y compris automates et équipements réseau OT).
• Segmentation réseau effective entre IT et OT (DMZ industrielle, micro-segmentation), avec règles de flux explicitement documentées.
• MFA généralisé pour tous les accès distants, comptes à privilèges et accès des sous-traitants.
• Sauvegardes hors-ligne testées, avec exercices de restauration réguliers et chronométrés.
• Patch management structuré IT (mensuel) et OT (sur fenêtre maintenance + compensating controls).
• Détection : EDR/XDR sur l'IT, sondes passives ICS sur l'OT, agrégation SIEM, SOC industriel disponible 24/7.
• Gouvernance unifiée : CISO/RSSI ayant autorité IT + OT, comité de crise interdisciplinaire pré-formé, PCA/PRA approuvés par la direction générale.

6. Que faire en cas d'attaque : les 72 premières heures

Les recommandations convergentes de l'ANSSI, de la CISA et de l'ENISA insistent sur un point contre-intuitif : ne pas tout éteindre dans la panique. Couper brutalement les machines peut détruire des preuves forensiques et empêcher la reconstruction propre des systèmes.

6.1 Réflexes immédiats (H+0 à H+6)

• Isoler : déconnecter le réseau (couper les liaisons IT/OT, fermer les VPN, désactiver les comptes à privilèges suspects) plutôt qu'arrêter physiquement les machines en cours de cycle.
• Activer la cellule de crise : direction, DSI, RSSI, communication, juridique, RH. Préparer une war room en clair (téléphones mobiles, messagerie out-of-band type Signal, pas d'usage des outils internes potentiellement compromis).
• Préserver les preuves : ne pas réinstaller les serveurs, ne pas redémarrer sans imagerie disque. Faire appel à un prestataire qualifié PRIS (Prestataire de Réponse aux Incidents de Sécurité) selon le référentiel ANSSI.
• Sécuriser les sauvegardes : vérifier qu'elles ne sont pas elles-mêmes chiffrées ou supprimées (le ciblage des backups est devenu une étape standard des attaques).

6.2 Déclarations et obligations légales (H+24 à H+72)

• ANSSI / CERT-FR : déclaration obligatoire pour les OIV/SAIV (LPM) et, depuis NIS2, pour les entités essentielles et importantes ; notification initiale sous 24 h, rapport intermédiaire sous 72 h.
• CNIL : notification sous 72 h en cas de violation de données personnelles ; information des personnes concernées si le risque est élevé.
• Dépôt de plainte : auprès de la police judiciaire (sections cybercrime de la SDLC, BL2C, OFAC selon le ressort) ou via la plateforme cybermalveillance.gouv.fr pour les structures les plus petites.
• Assurance cyber : déclaration immédiate au courtier/assureur ; respecter les conditions du contrat (souvent : faire intervenir un PRIS référencé par l'assureur).

6.3 La question du paiement

L'ANSSI, le FBI et Europol convergent : ne pas payer. Au-delà de l'argument éthique (financement du crime), trois risques juridiques se cumulent :

• Aucune garantie contractuelle de déchiffrement ou de suppression des données exfiltrées.
• Risque de violation des sanctions OFAC si le groupe est sanctionné aux États-Unis (impact sur les filiales US d'un groupe européen).
• En France, certains contrats d'assurance excluent désormais le remboursement de rançon, et l'article L. 12-10-1 du Code des assurances (loi LOPMI 2023) conditionne tout remboursement éventuel au dépôt de plainte préalable.

6.4 Les métiers de la réponse

Une crise ransomware mobilise plusieurs profils spécialisés, dont la demande explose depuis 2020. Sur la base des grilles publiques (APEC, baromètres CESIN, études Hays / Robert Half), les fourchettes de rémunération brute annuelle en France pour 2024-2025 s'établissent typiquement ainsi :

• Analyste SOC OT : ~38-55 k€
• Ingénieur cybersécurité industrielle : ~55-90 k€
• Pentester ICS / red teamer OT : ~60-95 k€
• Responsable continuité d'activité (RCA / RPCA) : ~60-100 k€
• CISO / RSSI industrie : ~90-150 k€ et au-delà selon la taille du groupe