Comment protéger vos automates industriels contre les attaques par rançongiciel ?

L’image est un cauchemar pour tout gestionnaire de production à Montréal : une usine silencieuse, des lignes de production à l’arrêt, non pas à cause d’une panne mécanique, mais d’un simple courriel d’hameçonnage ouvert dans les bureaux. Cette menace, autrefois confinée au monde des technologies de l’information (IT), a brutalement fait irruption dans celui des technologies opérationnelles (OT). La paralysie de la production par un rançongiciel est devenue un risque tangible qui menace la continuité des activités de toute entreprise manufacturière.

Face à cette réalité, les conseils habituels comme « faites des sauvegardes » ou « installez un antivirus » semblent bien dérisoires. Ces approches, conçues pour le monde prévisible des bureaux, ignorent les contraintes uniques du plancher de production : des machines vieilles de plusieurs décennies qui n’ont jamais été conçues pour être connectées, des environnements hostiles où la poussière et les vibrations sont la norme, et une priorité absolue donnée à la continuité opérationnelle plutôt qu’à la confidentialité des données.

Mais si la véritable clé n’était pas de voir la cybersécurité OT comme une simple extension de la sécurité IT, mais plutôt comme une discipline d’ingénierie à part entière ? Et si la protection de vos automates ne résidait pas seulement dans des logiciels, mais dans une approche physique, pragmatique et adaptée aux réalités irréductibles de votre usine ? C’est cette perspective que nous allons explorer. Cet article n’est pas une liste de souhaits théoriques ; c’est un guide de survie pour le gestionnaire TI/OT, ancré dans le contexte québécois.

Nous aborderons la manière dont une menace numérique se propage dans le monde physique de l’usine, comment concevoir une séparation robuste entre vos réseaux, et surtout, par où commencer concrètement pour sécuriser un parc de machines hétérogène sans paralyser la production ni engager des budgets colossaux. L’objectif est de vous donner les moyens de bâtir une résilience opérationnelle face à une menace qui, elle, ne fait aucune distinction entre le virtuel et le réel.

Cet article est structuré pour vous guider pas à pas, du diagnostic de la menace à la mise en place de solutions pragmatiques. Le sommaire ci-dessous vous permettra de naviguer à travers les points stratégiques pour fortifier votre infrastructure industrielle.

Sommaire : Guide complet de la cybersécurité OT contre les rançongiciels

• Pourquoi un courriel d’hameçonnage ouvert dans les bureaux peut paralyser l’usine ?
• Comment séparer votre réseau administratif (IT) de votre réseau de production (OT) efficacement ?
• Pare-feu IT classique ou pare-feu industriel durci : lequel résiste à l’environnement d’usine ?
• Le risque des accès à distance non sécurisés laissés par vos intégrateurs de machines
• Dans quel ordre redémarrer vos systèmes après une cyberattaque pour minimiser les pertes ?
• Comment installer des capteurs sans ouvrir une brèche de sécurité dans votre réseau ?
• Par quelle étape commencer la numérisation d’une usine vieille de 40 ans ?
• Comment connecter vos vieilles machines à l’internet industriel (IIoT) sans tout remplacer ?

Pourquoi un courriel d’hameçonnage ouvert dans les bureaux peut paralyser l’usine ?

La séparation entre le réseau de bureau (IT) et le réseau de production (OT) est souvent une illusion. En réalité, de nombreuses passerelles existent, que ce soit pour remonter des données de production dans l’ERP ou pour permettre la maintenance à distance. C’est précisément cette convergence IT/OT, souvent mal sécurisée, qui constitue le principal vecteur d’attaque. Un attaquant n’a pas besoin de cibler directement un automate ; il lui suffit de compromettre un poste de travail dans les bureaux pour ensuite pivoter vers l’usine.

Le scénario est classique : un employé reçoit un courriel d’hameçonnage semblant légitime, clique sur un lien et un rançongiciel s’installe. Ce logiciel malveillant va alors scanner le réseau à la recherche de connexions vers d’autres systèmes. S’il trouve un pont non sécurisé vers le réseau OT, il s’y propage et commence à chiffrer les fichiers des systèmes de contrôle (SCADA), des interfaces homme-machine (HMI) et, dans les pires cas, à altérer la logique des automates programmables (PLC), rendant toute opération impossible.

L’étude de cas du géant industriel Saint-Gobain est emblématique. En 2016, l’attaque par le rançongiciel NotPetya, qui a exploité une faille Windows, s’est propagée depuis ses systèmes IT jusqu’à ses équipements OT. Le résultat fut une paralysie de la production et des pertes estimées à 250 millions d’euros. Cet exemple démontre de manière spectaculaire comment une vulnérabilité logicielle dans le monde des bureaux peut avoir des conséquences physiques et financières dévastatrices sur la chaîne de production.

Pour le gestionnaire, la leçon est claire : considérer le réseau de l’usine comme une forteresse isolée est une erreur. La véritable ligne de défense se situe aux points de jonction entre l’IT et l’OT, là où la menace numérique se transforme en arrêt de production.

Comment séparer votre réseau administratif (IT) de votre réseau de production (OT) efficacement ?

La segmentation réseau est le fondement de la cybersécurité industrielle. Cependant, une simple séparation logique via des VLANs (Virtual Local Area Networks) est souvent insuffisante. Une approche efficace repose sur le modèle des « zones et conduits », inspiré de la norme ISA/IEC 62443. Il s’agit de regrouper les actifs ayant les mêmes exigences de sécurité en zones distinctes (ex: une zone pour une ligne d’embouteillage, une autre pour la supervision) et de contrôler strictement les flux de données qui transitent entre elles via des conduits sécurisés.

L’élément central de cette architecture est la mise en place d’une zone démilitarisée (DMZ) industrielle. Il s’agit d’un réseau tampon isolé, placé entre le réseau IT et le réseau OT. Seuls les serveurs et services absolument nécessaires à l’échange d’informations (comme un serveur historian ou un serveur de fichiers pour les mises à jour) sont placés dans cette DMZ. Tout trafic direct entre un poste de travail de bureau et un automate est ainsi bloqué par principe.

Comme le montre cette architecture, la communication est strictement contrôlée par des pare-feu industriels qui filtrent les flux non seulement par port et adresse IP, mais aussi par protocole industriel (DPI – Deep Packet Inspection). Cela empêche, par exemple, qu’une commande d’écriture non autorisée soit envoyée à un automate. Cette approche granulaire est la seule qui permette de concilier les besoins de connectivité et les impératifs de sécurité.

La mise en place d’une telle architecture a un coût, mais elle doit être vue comme un investissement dans la résilience. Le budget dépendra du niveau de protection recherché, allant d’une segmentation de base à une microsegmentation complète.

Ce tableau présente une estimation des budgets pour une PME manufacturière québécoise, démontrant que les premières étapes de la segmentation sont accessibles.

Pare-feu IT classique ou pare-feu industriel durci : lequel résiste à l’environnement d’usine ?

Placer un pare-feu standard, conçu pour une salle de serveurs climatisée, dans une armoire électrique sur le plancher de production est une recette pour l’échec. L’environnement industriel impose des contraintes physiques (températures extrêmes, vibrations, poussière, interférences électromagnétiques) pour lesquelles les équipements IT ne sont tout simplement pas prévus. Un pare-feu industriel durci n’est pas un gadget marketing, c’est une nécessité technique.

Une étude de cas locale illustre parfaitement ce risque : une usine de transformation alimentaire de la Rive-Sud de Montréal a vu sa production interrompue pendant 48 heures en plein hiver. La cause ? Le pare-feu IT standard qui gérait la connexion à la chaîne de production a cessé de fonctionner, incapable de supporter les températures de -20°C de l’entrepôt non chauffé. Cette défaillance physique a ouvert une brèche, mais a surtout causé un arrêt complet, soulignant que la disponibilité est le premier pilier de la sécurité OT.

Au-delà de la robustesse physique, la différence fondamentale réside dans l’intelligence protocolaire. Un pare-feu IT comprend les protocoles du web (HTTP, FTP). Un pare-feu industriel est conçu pour comprendre et inspecter en profondeur les protocoles OT (Modbus, EtherNet/IP, OPC, S7). Il peut faire la distinction entre une simple lecture de données d’un automate (légitime) et une commande de modification de sa programmation (potentiellement malveillante). Cette capacité de “Deep Packet Inspection” est la seule défense efficace contre les attaques qui exploitent les commandes natives des systèmes de contrôle.

Le tableau suivant résume les différences critiques entre ces deux types d’équipements.

Le choix n’est donc pas seulement technique, il est stratégique. Investir dans un équipement adapté à l’environnement de l’usine est la première étape pour garantir la continuité opérationnelle.

Le risque des accès à distance non sécurisés laissés par vos intégrateurs de machines

L’un des angles morts les plus courants en sécurité OT est la gestion des accès accordés aux tiers. Lorsqu’un intégrateur installe une nouvelle machine, il configure souvent un accès à distance pour la maintenance ou le dépannage. Ces “portes dérobées”, si elles ne sont pas gérées, documentées et sécurisées, représentent une brèche béante dans votre infrastructure. Souvent, ces accès utilisent des mots de passe par défaut (comme “admin/admin”) qui ne sont jamais changés.

Cette pratique est un secret de polichinelle dans l’industrie. Comme le souligne l’expert en sécurité Renaud Lifchitz, cette pratique est assumée par les constructeurs, car modifier ces mots de passe peut entraîner une rupture du contrat de support. Il explique :

Cette pratique est entièrement assumée par les constructeurs, car ces mots de passe sont utilisés pour l’administration et la maintenance. Dans le contrat de prestation, il est d’ailleurs stipulé que leur modification entraîne la rupture du support.

– Renaud Lifchitz, Expert en sécurité industrielle

La responsabilité incombe donc au gestionnaire de l’usine de reprendre le contrôle. Il ne s’agit pas d’interdire les accès distants, qui sont souvent nécessaires, mais de les encadrer strictement. Chaque accès doit être temporaire, authentifié via une solution d’authentification multi-facteurs (MFA), et son activité doit être journalisée, voire enregistrée. Un attaquant qui découvrirait un de ces accès permanents et non sécurisés aurait un accès direct et non surveillé au cœur de votre production.

Pour un responsable de maintenance ou un gestionnaire OT, il est impératif de mettre en place un processus d’audit systématique après chaque intervention ou installation par un fournisseur externe.

Dans quel ordre redémarrer vos systèmes après une cyberattaque pour minimiser les pertes ?

Lorsqu’une cyberattaque paralyse la production, la pression pour tout redémarrer au plus vite est immense. Cependant, une restauration précipitée et désordonnée peut aggraver la situation, en réinfectant des systèmes propres ou en causant des dommages physiques. La gestion de crise post-attaque en environnement OT est une procédure méthodique qui doit privilégier la sécurité et la stabilité sur la vitesse.

La première action, contre-intuitive, est de ne rien toucher et d’isoler. Déconnecter physiquement le réseau de production (OT) du réseau de bureau (IT) pour stopper la propagation de l’attaque. Ensuite, la chaîne de communication est cruciale, surtout dans le contexte québécois. Il faut immédiatement contacter son courtier en cyber-assurance et son conseiller juridique pour s’assurer de respecter les obligations de la Loi 25 en matière de notification d’incident de confidentialité. En parallèle, l’incident doit être signalé au Centre canadien pour la cybersécurité.

La séquence de redémarrage technique ne commence qu’après. On doit d’abord s’assurer de l’intégrité des automates et systèmes qui garantissent la sécurité physique des employés. Ensuite, on restaure les systèmes de supervision (SCADA/HMI) à partir de sauvegardes saines et validées, avant de redémarrer progressivement les lignes de production, en commençant par les plus critiques. La reconnexion au réseau IT ne doit avoir lieu qu’à la toute fin, après une analyse forensique complète confirmant l’éradication de la menace. L’exemple de l’attaque contre la chaîne Sobeys en 2022 montre comment une gestion de crise structurée, maintenant les opérations manuelles pendant la restauration, a permis de limiter l’impact.

Malheureusement, face à la pression, de nombreuses entreprises cèdent. Une enquête récente confirme que 67% des PME canadiennes ont payé une rançon au cours des trois dernières années. Payer ne garantit cependant ni la récupération des données, ni la non-récidive. Un plan de reprise structuré est la seule véritable assurance.

Comment installer des capteurs sans ouvrir une brèche de sécurité dans votre réseau ?

L’Internet Industriel des Objets (IIoT) promet de transformer les usines en collectant des données précieuses sur des équipements vieillissants. Cependant, chaque capteur connecté est une porte d’entrée potentielle pour un attaquant. Connecter directement des capteurs, souvent conçus avec une sécurité minimale, au réseau de production principal (OT) est une pratique extrêmement risquée. La bonne approche est de créer un réseau de collecte de données entièrement parallèle et isolé.

Cette architecture repose sur le déploiement d’un réseau physique dédié, utilisant des technologies sans fil à longue portée et faible consommation comme LoRaWAN ou NB-IoT. Les capteurs communiquent exclusivement sur ce réseau, envoyant leurs données à une passerelle IIoT dédiée. Cette passerelle, elle-même sécurisée par un pare-feu, agit comme un point de contrôle unique. Idéalement, elle est configurée pour n’autoriser que les communications sortantes (des capteurs vers le cloud), empêchant ainsi toute tentative de connexion entrante vers le réseau de l’usine.

Une entreprise de transformation alimentaire de la Rive-Sud de Montréal a parfaitement illustré cette méthode. Pour surveiller la conformité HACCP de ses pasteurisateurs vieillissants, elle a installé des capteurs de température sans fil. Comme le rapporte une étude de cas sur leur projet, les données sont transmises via un réseau LoRaWAN privé vers la plateforme cloud Azure Canada, sans jamais transiter par le réseau de contrôle des automates. Cette isolation totale a permis d’atteindre l’objectif de numérisation tout en préservant l’intégrité du système OT critique.

L’essentiel est de traiter les données des capteurs IIoT comme des données de “seconde classe” du point de vue de la sécurité du réseau OT. Elles sont utiles pour l’analyse, mais elles ne doivent en aucun cas pouvoir interagir avec les systèmes qui pilotent la production. Cette séparation physique est la forme de sécurité la plus robuste.

Par quelle étape commencer la numérisation d’une usine vieille de 40 ans ?

Face à un parc de machines hétérogène, avec des équipements datant parfois des années 80, la tentation est grande de se lancer dans des projets de connectivité ambitieux. Cependant, la toute première étape, l’étape zéro de toute initiative de numérisation ou de sécurisation, est bien plus terre à terre : il s’agit de l’inventaire complet des actifs OT. On ne peut pas protéger ce que l’on ne connaît pas.

Cet inventaire ne se résume pas à un scan réseau. Il s’agit d’un travail de terrain, qui consiste à recenser physiquement chaque automate, chaque interface homme-machine (HMI), chaque variateur de vitesse et chaque système de contrôle présent dans l’usine. Pour chaque équipement, il faut documenter des informations cruciales : son âge, sa marque, son modèle, la version de son firmware et, surtout, le système d’exploitation sur lequel il fonctionne. C’est ainsi que l’on découvre la présence de systèmes obsolètes et non supportés comme Windows XP ou Windows 7, qui sont des failles de sécurité béantes mais toujours omniprésents dans l’industrie.

Une fois l’inventaire réalisé, l’étape suivante est d’évaluer la criticité de chaque actif. Quel serait l’impact sur la production si cette machine s’arrêtait ? Cette analyse permet de créer une matrice de risque, qui met en évidence les équipements qui doivent être sécurisés en priorité. Ce sont souvent les plus anciens et les plus critiques qui nécessitent une attention immédiate, par exemple en les isolant derrière un pare-feu dédié.

Pour mener cet inventaire sans perturber la production, il est recommandé d’utiliser des outils de découverte passifs. Ces outils écoutent le trafic réseau sans envoyer de paquets actifs, ce qui évite de déstabiliser des équipements anciens et fragiles. Cet inventaire est le socle sur lequel reposeront toutes les décisions futures en matière de sécurité et de modernisation.

Comment connecter vos vieilles machines à l’internet industriel (IIoT) sans tout remplacer ?

Remplacer un parc de machines fonctionnelles mais non connectées représente un coût prohibitif pour la plupart des PME manufacturières. Heureusement, il existe des méthodes de “retrofit” intelligent qui permettent de collecter des données de performance sans toucher à l’intégrité de ces équipements critiques. L’objectif est de rendre les machines “parlantes” de manière non invasive.

L’une des techniques les plus ingénieuses est le “shadowing” optique. Une usine manufacturière canadienne a utilisé cette approche en installant des capteurs optiques pointés sur les témoins lumineux (status lights) de machines datant de 1985. Ces capteurs “lisent” si le voyant est vert (en marche), jaune (en attente) ou rouge (en panne) et transmettent cette information via un réseau sans fil séparé. Cette méthode offre une isolation électrique et logique totale, collectant des métriques de performance précieuses sans aucun risque pour l’automate d’origine.

D’autres méthodes non invasives incluent l’utilisation de pinces ampèremétriques pour mesurer la consommation de courant d’un moteur et en déduire son état de fonctionnement, ou l’installation de capteurs de vibration pour anticiper les pannes mécaniques. Pour les machines disposant d’un port série, un convertisseur Serial-to-Ethernet, placé derrière un pare-feu, peut permettre de remonter des données de manière contrôlée.

Le choix de la méthode dépendra de l’âge de la machine, de son interface et du niveau de sécurité requis. Le tableau suivant compare les options les plus courantes.

Ces approches pragmatiques prouvent qu’il est possible de bénéficier des avantages de l’IIoT tout en respectant l’héritage industriel. La modernisation ne signifie pas toujours remplacer, mais souvent, connecter intelligemment.

Pour protéger votre production et assurer la pérennité de votre usine, la première étape n’est pas un investissement coûteux, mais une démarche méthodique. Commencez dès aujourd’hui à mettre en œuvre un plan d’inventaire rigoureux de vos actifs OT pour cartographier vos équipements et identifier vos vulnérabilités critiques.