Attaques supply chain dans l’OT : comprendre et se préparer

Comment se préparer et se protéger ? Un plan d’action pour l’OT

La défense contre les attaques supply chain repose sur un changement de mentalité : il faut étendre sa méfiance au-delà de son propre réseau.

1- Établir une politique de gestion des risques de la supply chain (SCRM)

• Formalisez les exigences de sécurité que vos fournisseurs doivent respecter.
  
  
• Intégrez des clauses contractuelles strictes sur la cybersécurité, les délais de notification d’incident et les conséquences en cas de non-conformité.

2- Renforcer la diligence raisonnable et le suivi continu des fournisseurs

• Cartographiez tous vos fournisseurs ayant un impact sur l’OT.
  
  
• Demandez et auditez leurs rapports de conformité (ISO 27001, IEC 62443, etc.).
  
  
• Ne faites pas confiance par défaut. Vérifiez.
  
  

3- Sécuriser la chaîne logistique logicielle et matérielle

• Mises à jour : Téléchargez-les uniquement depuis les sources officielles et vérifiez les signatures numériques. Testez-les toujours dans un environnement de recette avant déploiement en production.
  
  
• Matériel : Achetez auprès de distributeurs agréés. Vérifiez l’authenticité des équipements critiques.
  
  

4- Isoler et segmenter les accès des fournisseurs

• Les accès à distance des fournisseurs ne doivent jamais offrir un accès direct au réseau de contrôle. Utilisez une DMZ industrielle et des jump hosts sécurisés.
  
  
• Appliquez le principe du moindre privilège : un fournisseur n’accède qu’aux équipements strictement nécessaires.
  
  
• Enregistrez et surveillez toutes les sessions d’accès à distance.
  
  

5- Préparer un plan de réponse aux incidents incluant les fournisseurs

• Votre plan doit définir qui contacter chez le fournisseur en cas d’incident soupçonné provenant de sa part.
  
  
• Effectuez des exercices de crise (« tabletop exercises ») simulant une compromission d’un fournisseur.
  
  

Attaques récentes de supply chain

Les attaques supply chain ne sont plus une menace théorique. Elles ciblent déjà les écosystèmes industriels avec des conséquences tangibles. Voici quelques exemples récents qui illustrent l’étendue du problème :

Jaguar Land Rover (2025) : le cas d’école

L’attaque qui a paralysé la production du constructeur automobile pendant des semaines est devenue l’exemple emblématique des risques supply chain. En s’attaquant à un équipementier, les cybercriminels ont réussi à interrompre la production de JLR, entraînant des pertes estimées à 2,5 milliards de dollars et des licenciements en cascade chez les sous-traitants. Cet incident démontre comment une brèche chez un partenaire de confiance peut se propager et avoir un impact économique national.

L’attaque Schneider Electric (2024) : la menace des ransomwares

En janvier 2024, le géant français de l’automatisation industrielle a subi une cyberattaque majeure via le ransomware Cactus. L’attaque a ciblé spécifiquement son division Sustainability Business, affectant certains de ses systèmes OT et forçant l’entreprise à prendre des mesures exceptionnelles pour protéger ses environnements industriels. Ce cas montre que même les leaders technologiques de l’OT sont vulnérables.

Le cas Viasat (2022) : quand la guerre cybernétique frappe l’OT

Au début du conflit en Ukraine, une attaque par wiper malware (AcidRain) a ciblé les modems satellite KA-SAT de Viasat. L’objectif : perturber les communications militaires ukrainiennes.

L’impact collatéral a touché des milliers de clients civils à travers l’Europe, dont des parcs éoliens en Allemagne et des systèmes de monitoring à distance. Une démonstration que les infrastructures critiques OT peuvent devenir des dommages collatéraux dans des conflits géopolitiques.

L’attaque Unitronics (2023) : le ciblage des équipements IoT/OT

Les attaquants ont exploité des HMI Unitics exposés sur Internet, utilisés dans le secteur de l’eau et d’autres infrastructures critiques. Cette campagne, revendiquée par des groupes pro-iraniens, a touché des systèmes aux États-Unis et en Europe. Elle démontre comment des équipements OT standards peuvent devenir des vecteurs d’attaque lorsqu’ils sont déployés sans mesures de sécurité appropriées.

Conclusion

La confiance n’est plus un modèle de sécurité viable. Pour protéger vos processus industriels, vous devez étendre votre posture de sécurité à l’ensemble de votre écosystème de fournisseurs. En mettant en œuvre une stratégie robuste de gestion des risques de la supply chain, vous transformez une vulnérabilité étendue en un avantage défendable.

Restez vigilants.