Les ransomwares ne ciblent plus uniquement les systèmes IT. La vague d’attaques contre les environnements OT industriels, avec plusieurs milliers d’organisations touchées rien qu’en 2024-2025, déplace le problème de la cybersécurité vers la continuité de production. Ce glissement change les priorités défensives, les budgets et les architectures à déployer.
Ransomware contre systèmes OT : une surface d’attaque que le patch Tuesday ne couvre pas
Les automates programmables, les SCADA et les interfaces homme-machine fonctionnent sur des cycles de vie longs, souvent une décennie ou plus. Appliquer un correctif sur un contrôleur en production revient à accepter un arrêt de ligne, ce que la plupart des responsables d’exploitation refusent. Les groupes de rançongiciels l’ont compris.
A lire en complément : Les solutions open source s'imposent dans les infrastructures informatiques
Selon l’analyse Dragos relayée par Industrie-Media, 119 groupes de ransomware actifs ont ciblé environ 3 300 organisations industrielles sur la période récente, avec une hausse marquée par rapport aux années précédentes. Le secteur manufacturier concentre l’essentiel des attaques, devant l’énergie et les transports.
La particularité de l’OT tient à l’absence de segmentation réelle entre le réseau bureautique et le réseau de production dans beaucoup d’installations. Un poste compromis côté IT devient un point d’entrée vers des équipements qui n’ont jamais été conçus pour résister à une charge malveillante. Nous observons que les architectures Purdue, théoriquement déployées, sont souvent percées par des accès distants mal cloisonnés ou des connexions VPN partagées entre sous-traitants.
Lire également : Les bonnes pratiques pour sécuriser son réseau wifi à la maison
Identités compromises et MFA résistante au phishing : le nouveau périmètre défensif
La majorité des intrusions par ransomware exploitent des identifiants volés, pas des vulnérabilités zero-day. Ce constat, confirmé par plusieurs analyses récentes, place la gestion des identités au centre de la stratégie de protection, devant le patching et l’antivirus traditionnel.
Les identités compromises sont à l’origine de la plupart des attaques par ransomware. Mots de passe réutilisés, tokens de session volés par des infostealers, comptes de service à privilèges élevés jamais audités : le problème est systémique.
Les recommandations convergent vers trois axes :
- Déployer une MFA résistante au phishing (clés FIDO2, certificats matériels) sur tous les accès à privilèges, y compris les consoles d’administration cloud et les bastions d’accès distant.
- Séparer les comptes d’administration des comptes utilisateurs au quotidien. Un administrateur qui consulte ses courriels avec le même compte que celui qui gère l’Active Directory offre un chemin d’escalade trivial.
- Surveiller les comportements anormaux sur les comptes privilégiés : connexions à des horaires inhabituels, élévation de privilèges non justifiée, accès à des partages réseau hors périmètre métier.
L’authentification multifacteurs par SMS ou par notification push simple ne suffit plus. Les kits de phishing en temps réel (type Evilginx) interceptent ces seconds facteurs. Seule une MFA liée au domaine et résistante au proxy inverse offre une protection fiable contre ce vecteur.
Sauvegardes immuables : protéger la capacité de reprise, pas seulement les données
Disposer de sauvegardes ne protège plus de rien si ces sauvegardes sont accessibles depuis le même réseau que celui compromis. Les opérateurs de ransomware ciblent désormais les volumes de sauvegarde en priorité, avant même de chiffrer les données de production. L’objectif est clair : supprimer toute possibilité de restauration pour maximiser la pression au paiement.
Nous recommandons de traiter l’infrastructure de sauvegarde comme un environnement à part entière, avec ses propres comptes d’administration, son propre segment réseau et des politiques d’accès distinctes. Les sauvegardes immuables (WORM, write once read many) empêchent la modification ou la suppression pendant une période définie, même par un administrateur compromis.
Le test de restauration en environnement isolé reste le seul indicateur fiable de résilience. Trop d’entreprises découvrent au moment de l’incident que leurs sauvegardes sont corrompues, incomplètes ou que le temps de restauration dépasse largement le RTO annoncé. Un exercice trimestriel de restauration complète, documenté et chronométré, vaut davantage qu’un investissement dans un outil de détection supplémentaire.
Détection comportementale et corrélation multi-couches face aux ransomwares
Les signatures antivirales détectent les souches connues. Les ransomwares modernes utilisent des binaires légitimes du système (LOLBins), du chiffrement intermittent et des techniques de living-off-the-land qui échappent aux moteurs statiques. La détection doit s’appuyer sur l’analyse comportementale et la corrélation d’événements entre endpoints, réseau et annuaire.
Un chiffrement massif de fichiers en quelques minutes génère des signaux détectables : pics d’écriture disque, renommage en série, appels inhabituels à des API cryptographiques. Encore faut-il que ces signaux soient corrélés en temps réel. Les SOC qui fonctionnent avec des règles de corrélation manuelles accusent un délai de détection trop long face à des attaques qui chiffrent un périmètre complet en moins d’une heure.
La directive NIS 2, dont le périmètre d’application s’étend à des milliers d’entreprises en France, impose des obligations de détection et de notification qui poussent les organisations à structurer cette capacité. Pour les PME, externaliser la détection auprès d’un MSSP disposant d’un SIEM corrélé et d’analystes qualifiés reste souvent la seule option réaliste en termes de coût et de compétences.
Prioriser les investissements cyber : où concentrer le budget
Face à la multiplication des outils disponibles, la tentation de l’empilement technologique est réelle. Ajouter une couche EDR, un NDR, un SOAR et un outil de gestion des vulnérabilités sans cohérence d’ensemble crée de la complexité opérationnelle sans réduire le risque proportionnellement.
Trois postes d’investissement génèrent le meilleur retour en termes de réduction du risque ransomware :
- La segmentation réseau entre IT et OT, avec des passerelles unidirectionnelles (data diodes) pour les flux critiques.
- La gestion des identités et des accès à privilèges (PAM), couplée à une MFA forte sur tous les points d’entrée.
- Les sauvegardes immuables testées régulièrement, avec un plan de reprise documenté et exercé.
Le reste (threat intelligence, red teaming, bug bounty) apporte de la valeur, mais sur un socle déjà solide. Sans segmentation, sans gestion des identités et sans sauvegardes fiables, ces investissements avancés protègent une maison dont les portes restent ouvertes.
La cybersécurité face aux ransomwares n’est pas un problème de catalogue produit. C’est un problème d’architecture, de gouvernance des accès et de discipline opérationnelle sur les sauvegardes. Les entreprises qui subissent les impacts les plus lourds sont rarement celles qui manquent d’outils : ce sont celles qui n’ont jamais testé leur capacité réelle de reprise.
