Cybersécurité OT : panorama des menaces 2026 pour l'industrie française

· 15 minutes de lecture
15 min read
Équipe Eziwan
Équipe Eziwan
Infrastructure IoT

Les systèmes industriels sont devenus la cible prioritaire des cybercriminels. En 2025, 68% des incidents de cybersécurité déclarés à l'ANSSI concernaient des systèmes OT (Operational Technology), contre 41% en 2022. L'interconnexion croissante entre les réseaux IT et OT, accélérée par l'Industrie 4.0, a considérablement élargi la surface d'attaque des usines, centrales électriques et réseaux d'eau.

Ce guide présente les principales menaces OT identifiées en 2025-2026, les secteurs les plus exposés en France, et les mesures concrètes pour réduire votre exposition.

Pourquoi les systèmes OT sont devenus la cible numéro 1​

Pendant des décennies, les systèmes industriels étaient protégés par l'air gap : leur isolation physique totale des réseaux IT et d'Internet. Cette protection naturelle a disparu avec la numérisation industrielle.

Les facteurs qui ont changé la donne :

  • Convergence IT/OT : les automates, SCADA et capteurs sont désormais connectés aux ERP, MES et au cloud pour la supervision à distance
  • Durée de vie des équipements : un automate programmable (PLC) a une durée de vie de 15 à 25 ans. Les automates installés en 2005-2010 fonctionnent souvent avec des OS obsolètes (Windows XP, CE) non maintenus
  • Protocoles sans sécurité native : Modbus, DNP3, Profibus, BACnet ont été conçus pour la fiabilité, pas pour la sécurité. Ils ne supportent ni authentification ni chiffrement
  • Ressources limitées : un PLC ou RTU n'a pas la puissance de calcul pour faire tourner un antivirus ou des algorithmes cryptographiques modernes
  • Cycle de mise à jour lent : appliquer un patch sur un automate peut nécessiter un arrêt de production planifié — beaucoup d'entreprises différent les mises à jour pendant des années

Conséquence : les systèmes OT cumulent les vulnérabilités non corrigées, les protocoles non sécurisés, et une exposition réseau croissante. Pour un attaquant, c'est une cible idéale.

Les 6 principales menaces OT en 2026​

1. Ransomware industriel (ICS Ransomware)​

Le ransomware reste la menace numéro 1. Mais en 2025-2026, les groupes cybercriminels ont développé des variantes spécifiques aux systèmes industriels, capables de :

  • Chiffrer les fichiers de configuration SCADA (projets Wonderware, Ignition, Siemens TIA Portal)
  • Modifier les paramètres automates pour provoquer une panne physique en plus du chiffrement
  • Exploiter les interfaces OPC-UA et Modbus TCP pour se propager latéralement dans le réseau OT

Groupes actifs en Europe : LockBit 3.0, BlackCat/ALPHV, Play, Cl0p ont tous ciblé des industries françaises en 2024-2025. Le secteur manufacturier représente 28% des victimes de ransomware en Europe.

Impact moyen d'un ransomware industriel :

  • Temps d'arrêt de production : 12 à 21 jours
  • Coût total (rançon + restauration + manque à gagner) : 2,5 à 8 M€ pour une PMI
  • Taux de paiement de la rançon : 42% des entreprises industrielles paient (vs 30% tous secteurs)

Vecteurs d'entrée les plus fréquents :

  1. VPN sans MFA compromis via credential stuffing
  2. Accès distant de sous-traitants maintenance (TeamViewer, AnyDesk) avec credentials partagés
  3. Phishing ciblé sur les ingénieurs ayant accès aux systèmes OT
  4. Exploitation de vulnérabilités dans les IHM (Human-Machine Interface) exposées sur Internet

2. Attaques sur les automates (PLC/RTU)​

Les automates programmables sont désormais ciblés directement. Les attaques les plus sophistiquées modifient la logique de programme (firmware ou ladder logic) pour :

  • Provoquer des arrêts d'urgence intempestifs
  • Forcer des équipements hors de leurs plages de fonctionnement normales
  • Masquer les valeurs réelles aux opérateurs (manipulation des données de supervision)

Vulnérabilités récurrentes identifiées par l'ANSSI (2024-2025) :

FabricantType de vulnérabilitéCVE
Siemens S7-1500Buffer overflow dans le serveur Modbus TCPCVE-2023-46156
Schneider Electric M340Authentification absente sur port FTPCVE-2024-8935
Rockwell Automation ControlLogixRCE via EtherNet/IP sans authentificationCVE-2024-6077
Mitsubishi MELSEC iQ-RDéni de service via paquets malformésCVE-2024-7419
Wago 750 SeriesCredentials par défaut non changésCVE-2023-4156

Mesure préventive clé : isoler les automates dans des VLAN dédiés, interdire les connexions directes depuis le réseau IT, utiliser des DMZ industrielles conformes à l'architecture Purdue.

3. Attaques sur les protocoles industriels sans sécurité​

Modbus, DNP3, BACnet et Profinet ont été conçus dans les années 1970-1990 pour la fiabilité et la rapidité. Aucun n'intègre d'authentification native. N'importe quel équipement sur le même réseau peut :

  • Lire tous les registres d'un automate Modbus sans restriction
  • Écrire des valeurs dans les bobines et registres sans authentification
  • Envoyer des commandes DNP3 à des équipements de distribution électrique ou d'eau

Attaque type : un attaquant qui accède au réseau OT (via VPN compromis, poste de maintenance infecté ou câble branché physiquement) peut directement envoyer des commandes Modbus à l'automate de pilotage d'une pompe ou d'un compresseur.

Mitigation :

  • Déployer des gateways industriels avec pare-feu applicatif qui bloquent les commandes Modbus d'écriture non autorisées (whitelist source IP + function codes)
  • Implémenter TLS mutual authentication sur les communications OPC-UA
  • Surveiller les communications Modbus pour détecter les function codes anormaux (FC05/FC06/FC15/FC16 en dehors des fenêtres de maintenance)

4. Attaques sur les interfaces IHM et SCADA​

Les interfaces homme-machine (IHM) et les serveurs SCADA sont souvent les maillons faibles car :

  • Ils tournent sur Windows Server (2012, 2016, voire 2008) rarement mis à jour
  • Ils sont accessibles depuis les réseaux IT pour la supervision de production
  • Ils embarquent des serveurs web pour l'accès distant (souvent sans MFA)

Scénario d'attaque courant :

  1. Attaquant compromet un poste IT via phishing
  2. Scan du réseau → détecte un serveur SCADA Wonderware sur port 80
  3. Exploitation d'une vulnérabilité web ou credential par défaut
  4. Accès à la supervision de production → modification des seuils d'alarme pour masquer une anomalie
  5. Déploiement de ransomware depuis le SCADA vers le reste du réseau OT

Fact check 2025 : La plateforme Shodan répertorie plus de 15 000 IHM industrielles accessibles directement depuis Internet en France, dont environ 3 400 sans authentification configurée.

5. Attaques sur la chaîne d'approvisionnement (Supply Chain OT)​

La menace supply chain OT est en forte croissance. Elle consiste à compromettre un équipement, un logiciel ou un prestataire avant qu'il n'arrive chez la victime finale.

Vecteurs identifiés :

  • Firmware malveillant dans des routeurs industriels ou gateways IoT importés (majoritairement depuis l'Asie) qui intègrent des backdoors
  • Mises à jour logicielles compromises de logiciels SCADA ou de bibliothèques de protocoles industriels
  • Prestataires de maintenance qui accèdent au réseau OT avec leurs propres outils (clés USB, ordinateurs portables) depuis d'autres sites clients infectés
  • Intégration de composants tiers dans les automates (cartes de communication, modules industriels) avec firmware non vérifié

Exigences NIS2 directement liées : l'article 21 de la directive NIS2 impose explicitement la gestion de la sécurité de la chaîne d'approvisionnement pour les entités essentielles et importantes.

6. Menaces internes (Insiders)​

Les menaces internes sont souvent sous-estimées dans l'industrie. Elles concernent :

  • Employés mécontents ayant accès aux systèmes de contrôle
  • Sous-traitants avec des accès distants permanents non désactivés après fin de mission
  • Sabotage intentionnel de systèmes critiques (cas documentés dans le secteur de l'eau et de l'énergie)

Statistiques 2024 (rapport Verizon DBIR) : 18% des incidents OT impliquent un acteur interne ou un prestataire de confiance compromis.

Mesure clé : Zero Trust Access — chaque accès doit être authentifié (MFA), limité dans le temps, et audité. Un sous-traitant ne doit jamais avoir un accès permanent illimité.

Secteurs les plus exposés en France​

1. Eau et assainissement​

Le secteur de l'eau est la cible numéro 1 des attaques OT selon l'ANSSI et Europol. Les raisons :

  • Infrastructure critique avec impact direct sur la santé publique
  • Systèmes vieillissants (beaucoup de RTU Sofrel des années 2000-2010)
  • Personnel souvent peu formé à la cybersécurité
  • Budgets IT/OT limités dans les collectivités

Incident de référence : En février 2021, un attaquant a modifié le niveau de soude caustique dans une usine de traitement d'eau en Floride via un accès TeamViewer non sécurisé. Un opérateur attentif a détecté l'anomalie à temps. Le même type d'attaque est possible sur n'importe quel SCADA eau sans contrôle d'accès rigoureux.

En France, NIS2 classe les opérateurs d'eau desservant > 10 000 habitants comme entités essentielles, avec des obligations renforcées de cybersécurité depuis le 17 octobre 2024.

2. Énergie et réseaux électriques​

Les attaques contre les infrastructures énergétiques (production, transport, distribution) ont triplé en Europe depuis 2022. Les gestionnaires de réseaux de distribution (GRD), les producteurs ENR et les sites industriels avec sous-station électrique sont exposés.

Protocoles ciblés : IEC 60870-5-101/104, IEC 61850 GOOSE, DNP3 — tous sans authentification native dans leurs versions de base.

3. Industrie pharmaceutique et agroalimentaire​

Ces secteurs combinent une forte réglementation (FDA 21 CFR Part 11, EU GMP Annex 11) avec des systèmes OT critiques. La contamination d'un process de fabrication par manipulation d'automates peut avoir des conséquences sanitaires graves.

Les attaques visant l'arrêt de production (sabotage concurrentiel) se multiplient dans ces secteurs à forte valeur ajoutée.

4. Collectivités et smart cities​

Les villes intelligentes déploient des capteurs, actionneurs et gateways IoT en masse, souvent avec des budgets sécurité insuffisants. L'éclairage public, la gestion du stationnement et les systèmes de transport urbain sont désormais tous connectés — et potentiellement compromissibles.

Les 10 mesures prioritaires pour sécuriser votre OT en 2026​

Niveau 1 : Fondamentaux (à faire immédiatement)​

1. Inventaire de tous les actifs OT Vous ne pouvez pas protéger ce que vous ne connaissez pas. Cartographiez tous les automates, SCADA, IHM, gateways et équipements réseau avec leur OS, firmware, protocoles et connexions. Utilisez des outils de découverte passifs (Nozomi Networks, Claroty, Dragos) qui ne perturbent pas le réseau OT.

2. Segmentation réseau IT/OT Isolez votre réseau OT du réseau IT avec un pare-feu industriel ou une DMZ dédiée. L'architecture Purdue (niveaux 0 à 5) reste la référence. À minima : interdire toute communication directe entre PC de bureau et automates terrain.

3. Suppression des accès distants non sécurisés Auditez tous les accès distants existants (VPN, TeamViewer, AnyDesk, RDP). Désactivez ceux qui ne sont pas strictement nécessaires. Pour les accès légitimes, implémentez le MFA et limitez les plages horaires d'accès.

4. Changement des credentials par défaut Tous les équipements (automates, switches, IHM, routeurs) livrés avec des identifiants par défaut (admin/admin, root/root) doivent être changés à la première mise en service. Documentez les credentials dans un coffre-fort de mots de passe (Bitwarden, HashiCorp Vault).

5. Sauvegarde des configurations automates Exportez et sauvegardez les projets TIA Portal, Unity Pro, Studio 5000 hors ligne, dans un emplacement isolé du réseau OT. En cas de ransomware, la restauration depuis une sauvegarde propre doit pouvoir se faire en heures, pas en semaines.

Niveau 2 : Renforcement (à planifier sur 6-12 mois)​

6. Authentification forte sur les accès distants Déployez un VPN industriel avec MFA (TOTP ou FIDO2) pour tous les accès distants — techniciens internes, sous-traitants, intégrateurs. Chaque session doit être enregistrée (session recording) pour l'audit.

7. Surveillance des comportements réseau OT (NDR) Déployez une sonde de surveillance passive sur votre réseau OT pour détecter les anomalies de communication : nouveaux équipements, function codes Modbus inhabituels, communications vers des IP inconnues, changements de firmware. Les solutions Nozomi Networks, Claroty et Dragos sont les leaders du marché.

8. Gestion des vulnérabilités OT Abonnez-vous aux bulletins de sécurité de vos fabricants (Siemens ProductCERT, Schneider Electric PSIRT, Rockwell Automation Security Advisories). Évaluez les CVE critiques (CVSS ≥ 7.0) et planifiez les correctifs lors des prochaines fenêtres de maintenance.

9. Plan de réponse aux incidents OT Documentez le processus de réponse spécifique OT : qui contacter (ANSSI si entité NIS2), comment isoler un segment compromis sans arrêter la production, procédures de restauration depuis les sauvegardes. Testez le plan une fois par an en simulation.

10. Formation des équipes (OT Security Awareness) Les ingénieurs d'automation n'ont généralement pas reçu de formation cybersécurité. Des sessions de 2-4 heures sur les menaces OT spécifiques, le phishing, la gestion des clés USB et les accès distants sécurisés réduisent significativement le risque interne.

Comment Eziwan répond aux exigences de sécurité OT​

La passerelle et la plateforme Eziwan ont été conçues dès l'origine avec la sécurité OT comme exigence non fonctionnelle critique.

Architecture Zero Trust :

  • Toutes les communications gateway → cloud sont chiffrées TLS 1.3 avec authentification mutuelle par certificat X.509
  • Chaque gateway dispose d'un identifiant unique non-modifiable gravé en usine (Device Identity)
  • Aucun port entrant ouvert sur le gateway : les connexions sont initiées exclusivement de l'OT vers le cloud (modèle push)

Contrôle d'accès distant granulaire :

  • VPN OpenVPN/IPSec avec MFA obligatoire pour tous les accès distants
  • Sessions limitées dans le temps (expiration automatique configurable : 1h, 4h, 24h)
  • Journal d'audit complet : qui s'est connecté, depuis quelle IP, pendant combien de temps, quelles actions ont été effectuées
  • Accès sous-traitant : restriction par adresse IP source, par équipement ciblé, et par plage horaire

Surveillance OT intégrée :

  • Détection d'anomalies sur les valeurs Modbus (variation hors plage, valeur figée, communication interrompue)
  • Alertes en temps réel par SMS/email sur toute anomalie détectée
  • Historique complet des valeurs pour investigation post-incident

Hébergement souverain :

  • Infrastructure hébergée en France (AWS Paris eu-west-3), ISO 27001
  • Données non transférées hors UE
  • Conformité RGPD, NIS2 et exigences ANSSI

Checklist de sécurité OT 2026​

Utilisez cette checklist pour évaluer votre niveau de maturité cybersécurité OT :

Gouvernance

  • Cartographie des actifs OT à jour (inventaire complet)
  • Politique de sécurité OT formalisée et approuvée par la direction
  • Responsable cybersécurité OT désigné (ou MSSP spécialisé)
  • Classification des systèmes par criticité (IEC 62443 Security Levels)

Architecture réseau

  • Segmentation IT/OT avec pare-feu/DMZ industriel
  • VLAN dédiés par zone Purdue (niveaux 0, 1, 2, 3)
  • Pas d'équipements OT directement accessibles depuis Internet
  • Pas de connexions directes entre postes IT bureautique et automates terrain

Accès et identités

  • Suppression des credentials par défaut sur tous les équipements
  • MFA déployé sur tous les accès distants (VPN, RDP, SCADA web)
  • Accès sous-traitants limités (durée, périmètre, plage horaire)
  • Journal d'audit des accès distants archivé ≥ 1 an

Maintenance et mises à jour

  • Processus de gestion des vulnérabilités OT documenté
  • Sauvegardes des configurations automates testées et stockées hors réseau
  • Procédure de mise à jour firmware planifiée lors des fenêtres de maintenance

Détection et réponse

  • Surveillance des comportements réseau OT (NDR ou SIEM OT)
  • Plan de réponse aux incidents OT documenté et testé
  • Procédure de notification ANSSI (obligatoire pour entités NIS2)
  • Contacts d'urgence cybersécurité identifiés (CERT interne ou externe)

FAQ — Cybersécurité OT et menaces industrie 2026​

Un ransomware qui touche le réseau IT peut-il atteindre les automates OT ?

Oui, si les réseaux OT et IT sont interconnectés sans segmentation stricte. C'est exactement le vecteur de propagation de NotPetya (2017) et de nombreux incidents industriels depuis. Le ransomware chiffre les serveurs IT, se propage via Active Directory et les partages réseau, et si le réseau OT est sur le même LAN ou accessible via le même domaine Windows, les postes de supervision SCADA et parfois les automates sont atteints.

Les automates Siemens ou Schneider peuvent-ils être directement infectés par un malware ?

Les automates industriels ne "s'infectent" pas au sens classique (pas de système de fichiers standard, pas d'exécution de code arbitraire via des vecteurs usuels). Mais ils peuvent être reprogrammés à distance si l'accès est obtenu (cf. Stuxnet). Le risque réel est plus souvent l'arrêt ou la manipulation des automates via un opérateur compromis ou un accès distant mal sécurisé, plutôt qu'une infection directe du firmware.

Quelle est l'obligation de notification à l'ANSSI en cas d'incident OT sous NIS2 ?

Pour les entités soumises à NIS2 (Entités Essentielles et Entités Importantes), l'obligation est : notification préliminaire dans les 24h si l'incident est susceptible d'avoir un impact significatif, rapport intermédiaire dans les 72h, rapport final dans le mois. L'ANSSI peut être notifiée via le formulaire dédié sur son site. Le non-respect expose à des sanctions pouvant atteindre 10M€ ou 2% du CA mondial.

Les solutions de segmentation réseau OT sont-elles très coûteuses pour une PMI ?

Non. Une segmentation basique (VLAN OT/IT sur un switch manageable à 200-400€, avec règles inter-VLAN restrictives) est accessible à toute PMI. Pour un niveau supérieur, des pare-feux industriels compacts (Stormshield SNi40, Fortinet FortiGate Rugged) démarrent à 500-800€. La segmentation est le meilleur rapport coût/efficacité en cybersécurité OT — elle contient les incidents avant qu'ils ne se propagent.

Faut-il désactiver les protocoles non sécurisés comme Modbus TCP sur le réseau OT ?

Sur le réseau OT interne, Modbus TCP peut rester actif — son absence d'authentification est acceptable dans un réseau physiquement isolé et segmenté. L'erreur critique est d'exposer le port Modbus (502) sur Internet ou sur le réseau IT sans contrôle. La priorité est d'assurer qu'aucun port OT n'est accessible depuis l'extérieur, pas nécessairement de remplacer Modbus par un protocole plus sécurisé à court terme.

Conclusion​

La cybersécurité OT n'est plus une option pour les industriels français. La directive NIS2, les exigences de la norme IEC 62443 et la réalité des incidents (ransomwares, attaques sur les réseaux d'eau, sabotages d'infrastructure énergétique) rendent la protection des systèmes OT indispensable.

La bonne nouvelle : contrairement à ce que pensent beaucoup d'industriels, il n'est pas nécessaire de tout refaire pour progresser significativement. Les 5 mesures fondamentales présentées dans ce guide — inventaire, segmentation, suppression des accès non sécurisés, credentials par défaut, sauvegardes — réduisent de 80% le risque d'incident majeur, pour un coût et une complexité raisonnables.

Votre prochaine étape : réalisez un audit OT de votre infrastructure (Eziwan propose un audit gratuit de vos connexions distantes) et identifiez les 3 actions prioritaires à mettre en œuvre dans les 30 prochains jours.

Article rédigé par l'équipe Eziwan. Eziwan est éditeur de passerelles IIoT et de plateforme de supervision industrielle pour les PMI, collectivités et intégrateurs automation français. Découvrez notre approche de la sécurité OT →

Ressources complémentaires​