Chaque violation OT documentée au cours des cinq dernières années a commencé au même endroit : un actif exposé à Internet que les opérateurs croyaient protégé. Des hacktivistes pro-russes ont forcé des connexions VNC sur le port 5900. Volt Typhoon a exploité un pare-feu FortiGate non patché. Des affiliés de rançongiciels se sont authentifiés via des portails VPN en utilisant des identifiants provenant d’un infostealer. Dans chaque cas, le contrôle périmétrique a soit autorisé la connexion, soit était lui-même la vulnérabilité. En 2025, 119 groupes de rançongiciels ont frappé 3 300 organisations industrielles, soit une augmentation de 49 % d’une année sur l’autre, avec un temps de résidence moyen de 42 jours avant détection. Les adversaires ne sondent plus. Ils cartographient les boucles de contrôle, extraient les configurations d’alarme et identifient les conditions qui déclenchent les arrêts de processus. Cet article examine les chemins d’attaque documentés, les actifs qu’ils atteignent et pourquoi l’architecture censée les arrêter continue d’échouer.
Deux catégories d’adversaires, une surface d’attaque partagée
Attaquants opportunistes : outils simples, conséquences opérationnelles réelles
Les opérateurs d’infrastructures critiques sont confrontés à deux catégories d’adversaires dont les méthodes divergent fortement. Leurs points d’entrée, eux, ne divergent pas.
Les groupes de hacktivistes pro-russes mènent des attaques moins sophistiquées et à moindre impact contre les entités d’infrastructures critiques par rapport aux groupes de menaces persistantes avancées, utilisant des connexions VNC peu sécurisées et exposées à Internet pour infiltrer ou accéder aux dispositifs de contrôle OT. Des groupes tels que Cyber Army of Russia Reborn, Z-Pentest, NoName057(16) et Sector16 exploitent la disponibilité généralisée de dispositifs VNC accessibles, entraînant des degrés d’impact variés, y compris des dommages physiques. Leur méthodologie n’est pas complexe : scanner le port 5900 avec Nmap, forcer les identifiants par défaut ou faibles, puis manipuler les interfaces graphiques pour modifier les paramètres, désactiver les alarmes ou renommer les appareils. Pas plus tard qu’en avril 2025, la CISA a documenté l’utilisation de ces TTP contre les secteurs de l’eau et des eaux usées, de l’alimentation et de l’agriculture, et de l’énergie.
Ces acteurs n’ont pas besoin de zero-days. Ils ont besoin d’un port ouvert et d’un mot de passe faible, deux éléments qui restent largement disponibles dans l’infrastructure industrielle mondiale. L’impact opérationnel est réel, quelle que soit la méthode : la perte de visibilité sur un processus force une intervention manuelle, et l’intervention manuelle dans un environnement de processus continu comporte un risque direct pour la sécurité.
Acteurs étatiques : patients, précis et déjà à l’intérieur
À l’autre extrémité du spectre, Volt Typhoon représente une menace qu’aucun cycle de correctifs ne peut résoudre de manière fiable. Les agences américaines évaluent avec une grande confiance que les acteurs de Volt Typhoon se prépositionnent sur les réseaux IT pour permettre la perturbation des fonctions OT dans plusieurs secteurs d’infrastructures critiques. Leur méthode d’accès initial est le contrôle périmétrique lui-même. Dans une intrusion confirmée, les attaquants ont exploité la CVE-2022-42475 dans un pare-feu FortiGate 300D qui n’avait pas été patché. La même campagne a exploité des zero-days dans des appliances VPN Ivanti Connect Secure et des dispositifs de périphérie Cisco.
Volt Typhoon s’appuie presque exclusivement sur des techniques de « living-off-the-land », acheminant le trafic via des routeurs et des pare-feu SOHO compromis pour se fondre dans l’activité réseau normale. L’intention stratégique est explicite : un accès prépositionné pour des effets perturbateurs en cas de conflit géopolitique. En d’autres termes, l’infrastructure est déjà compromise dans certains environnements. La perturbation est en attente.
La convergence : courtiers d’accès, APT et hacktivistes comme écosystème coordonné
Le rapport annuel 2026 de Dragos confirme que ces deux catégories d’acteurs n’opèrent plus indépendamment. SYLVANITE, un groupe de menaces Dragos nouvellement identifié, opère comme un courtier d’accès : exploitant rapidement les vulnérabilités des systèmes exposés à Internet, y compris Ivanti, F5, SAP et ConnectWise, puis transmettant les points d’appui établis à VOLTZITE pour des intrusions OT plus profondes. Un groupe de hacktivistes crée du bruit au périmètre. Un acteur aligné sur un État utilise cette fenêtre pour avancer davantage. L’équipe d’analystes répond à ce qui semble être une attaque opportuniste. VOLTZITE a déjà atteint le niveau 2.
Ce qui se passe une fois qu’ils sont à l’intérieur
Le point d’entrée : accès à distance, identifiants valides et connexions de confiance
En 2025, les affiliés de rançongiciels ont systématiquement utilisé des identifiants valides, des infostealers génériques ou un accès fourni par un courtier d’accès initial pour s’authentifier dans des portails VPN, des interfaces de pare-feu ou des tunnels de fournisseurs avant de pivoter vers les réseaux de périphérie OT. Une fois à l’intérieur, ils ont exploité RDP, SMB/PsExec, WinRM, WMI et SSH pour se déplacer latéralement vers les hyperviseurs VMware ESXi et les serveurs de support OT hébergeant des charges de travail SCADA, HMI, d’historien et d’ingénierie.
Le pare-feu a autorisé la connexion initiale car la connexion était, techniquement, légitime. C’est la lacune structurelle qu’exploitent les attaques basées sur les identifiants : le contrôle périmétrique valide le protocole, pas l’intention.
Les cibles : historiens, HMI et postes de travail d’ingénierie
Une fois à l’intérieur, les adversaires se dirigent vers les systèmes qui leur confèrent un levier opérationnel ou une capacité d’effet physique. Les historiens de données se situent au niveau 3 de Purdue, échangeant des données avec les systèmes IT d’entreprise, les plaçant à la jonction à haut risque entre les réseaux IT et OT. Un problème récurrent documenté par Dragos est la classification erronée systématique des événements de rançongiciels comme des incidents uniquement IT : les postes de travail d’ingénierie et les systèmes HMI fonctionnant sous Windows sont traités comme des points d’extrémité standard, même lorsqu’ils prennent en charge SCADA ou d’autres charges de travail opérationnelles. La perturbation opérationnelle est passée par ces systèmes de périphérie, et ce n’est qu’après coup que les organisations ont compris la portée OT de ce qui s’était produit.
Cette classification erronée a une conséquence directe : une sous-déclaration systématique de l’impact OT et un sous-investissement dans la protection des actifs les plus importants pour la continuité opérationnelle.
Le problème du temps de résidence : 42 jours d’accès non détecté
À l’échelle de l’industrie, le temps de résidence moyen des rançongiciels dans les environnements OT était de 42 jours en 2025. Les organisations dotées d’une visibilité OT complète ont détecté et contenu les incidents en moyenne en 5 jours, contre cette moyenne industrielle de 42 jours. Quarante-deux jours, c’est assez de temps pour qu’un adversaire cartographie une boucle de contrôle entière, identifie les conditions qui déclenchent les arrêts et prépare une capacité destructrice. KAMACITE a démontré exactement cela en 2025, manipulant le logiciel des postes de travail d’ingénierie pour extraire les fichiers de configuration et les données d’alarme, enquêtant spécifiquement sur les conditions qui déclencheraient les arrêts de processus.
L’absence de perturbation immédiate n’est pas un signe de sécurité. Dans de nombreux cas, l’intrusion est complète et la perturbation est différée.
Logiciel malveillant ICS : FrostyGoop et la dimension physique
L’incident FrostyGoop en janvier 2024 établit clairement les enjeux physiques. Des attaquants ont eu accès à une entreprise municipale de chauffage urbain en Ukraine en avril 2023 via une vulnérabilité indéterminée dans un routeur exposé à l’extérieur. En raison d’un manque de segmentation réseau, ils se sont déplacés latéralement vers les serveurs de gestion, puis vers les contrôleurs du système de chauffage. La remédiation a pris près de deux jours, pendant lesquels 600 immeubles d’appartements n’ont pas eu de chauffage central par des températures inférieures à zéro. FrostyGoop est le premier logiciel malveillant ICS signalé à avoir réussi à abuser de ModbusTCP pour la manipulation de systèmes de contrôle et à avoir un impact physique réel. Les attaquants n’ont pas utilisé un exploit avancé pour atteindre ces contrôleurs. Ils ont utilisé l’absence de segmentation.
Pourquoi les pare-feu périmétriques ne peuvent pas résoudre ce problème
Contre les attaquants opportunistes : le pare-feu est hors de propos
Les hacktivistes exploitent les canaux d’accès à distance que les organisations ont délibérément ouverts : VNC, VPN, RDP, avec des identifiants légitimes obtenus par force brute ou mots de passe par défaut. Le pare-feu autorise la connexion car la connexion est techniquement valide. L’attaque ne contourne pas le périmètre. Elle le traverse.
Contre les acteurs étatiques : le pare-feu est la cible
La campagne documentée de Volt Typhoon a exploité des vulnérabilités zero-day et n-day dans les pare-feu FortiGate, les appliances VPN Ivanti et les routeurs Cisco. Leurs points d’entrée préférés sont les appliances VPN et les pare-feu non patchés, des systèmes logiciels souvent construits et maintenus par des fournisseurs tiers et déployés à la périphérie des réseaux critiques. Lorsque le contrôle de sécurité est lui-même la vulnérabilité, le patching est une course que les défenseurs sont structurellement voués à perdre. Une nouvelle CVE est divulguée avant que la précédente ne soit atténuée sur l’ensemble de la base installée. Ce n’est pas un problème de ressources. C’est un problème architectural.
Le schéma commun aux deux scénarios
En 2025, la cause la plus fréquente de compromission de réseau était les portails d’accès à distance et les services de virtualisation, y compris les portails VPN, les interfaces de pare-feu et les tunnels de fournisseurs. Les attaquants utilisaient souvent des identifiants de connexion légitimes pour éviter la détection. La faiblesse structurelle est constante dans les deux catégories de menaces : une limite périmétrique renforcée par logiciel, accessible depuis Internet, reposant sur des identifiants et la mise à jour des correctifs pour tenir la ligne. Ni l’un ni l’autre ne tiennent de manière fiable face à des adversaires qui ont des mois pour sonder et la patience d’attendre.
La réponse architecturale : la segmentation renforcée par le matériel
Ce que le renforcement matériel change
Une diode de données matérielle applique la physique, pas la politique. Il n’y a pas de firmware à exploiter, pas d’identifiants à compromettre, pas de session bidirectionnelle à détourner. Les données circulent dans une seule direction car c’est tout ce que le matériel peut physiquement faire. Un adversaire avec des identifiants VPN valides et une CVE de pare-feu connue n’a pas d’attaque équivalente contre une limite matérielle unidirectionnelle. Le chemin d’attaque qui a fonctionné dans chaque incident documenté ci-dessus n’existe pas.
Ce n’est pas une position propriétaire. La norme IEC 62443-3-3 reconnaît les passerelles de sécurité unidirectionnelles comme un contrôle conforme pour la séparation de zones aux niveaux de sécurité les plus élevés. Le NIST SP 800-82 et les directives de sécurité industrielle de l’ANSSI font tous deux référence aux diodes de données matérielles pour les environnements où l’accès bidirectionnel IT-OT est opérationnellement injustifiable.
Adapter l’architecture au modèle opérationnel
Pour les environnements de processus continus, le pétrole et le gaz, la production d’électricité, le traitement de l’eau, le chauffage urbain, la fabrication de produits chimiques et d’engrais, les données opérationnelles circulent vers l’extérieur pour la surveillance et le reporting. Une diode de données unidirectionnelle stricte à la limite de la DMZ OT rend le réseau OT physiquement inaccessible depuis le côté IT. La réplication des historiens, la transmission des alarmes et l’exportation de la télémétrie traversent toutes la limite matérielle vers l’extérieur. Rien ne revient.
Pour les environnements de fabrication discrète où un certain échange bidirectionnel est opérationnellement nécessaire (ordres de production, mises à jour de firmware, poussées de configuration), une architecture 1,5 voie utilisant des passerelles unidirectionnelles appariées dans chaque direction offre la flexibilité requise sans créer de canal bidirectionnel persistant. Les transferts sont asynchrones et renforcés par le matériel. La session continue que le mouvement latéral exige n’existe pas.
L’analyse de rentabilité en termes simples
Le coût documenté d’un arrêt de production de plusieurs semaines, la responsabilité pour les dommages physiques aux infrastructures tierces et l’exposition réputationnelle d’une violation publiquement attribuée contre des systèmes critiques dépassent chacun le coût en capital de la segmentation matérielle. Les données de Dragos mettent les conséquences opérationnelles en termes concrets : 42 jours de temps de résidence moyen, des pannes OT de plusieurs jours nécessitant une récupération spécialisée, et des adversaires qui comprennent déjà comment déclencher des arrêts de processus. Un investissement unique dans une segmentation renforcée par le matériel contre des semaines d’arrêt de production n’est pas un calcul difficile.
Conclusion
Le paysage des menaces OT de 2025 n’est pas une collection d’incidents isolés. C’est un schéma documenté : les adversaires ont réussi parce que les mêmes faiblesses structurelles sont restées répandues dans les environnements industriels, des lacunes de visibilité, des infrastructures surexposées, une segmentation faible et une confiance implicite offrant des chemins fiables vers l’impact. Les diodes de données à renforcement matériel abordent directement la faiblesse structurelle. Elles ne réduisent pas la compétence d’un attaquant. Elles éliminent le chemin d’attaque. Dans un environnement où les adversaires ont démontré la patience de maintenir l’accès pendant des mois avant de déclencher une perturbation, éliminer le chemin est la seule stratégie fiable.
En savoir plus sur les passerelles unidirectionnelles et les architectures inter-domaines Cyberium conçues pour la segmentation OT et le transfert sécurisé de données.
