Lundi matin, sept heures quinze. Un technicien de maintenance arrive dans une usine agroalimentaire de la région de Casablanca. Il raccorde une clé USB au poste opérateur d'un automate pour mettre à jour un micrologiciel. Une demi-heure plus tard, la ligne d'embouteillage s'arrête, puis la deuxième, puis la troisième. En milieu de matinée, l'usine entière est immobilisée, pour un coût qui se chiffre en millions de dirhams entre production perdue et matières premières dégradées.

Ce déroulé est présenté ici à titre d'illustration, mais chacune de ses étapes correspond à des mécanismes observés dans des incidents réels. Le vecteur d'entrée le plus fréquent en environnement industriel n'est ni un courriel élaboré ni une vulnérabilité inédite exploitée à distance : c'est un support amovible qui tient dans la main.

Le mythe de l'air gap

Nombre de responsables de sites s'appuient sur une conviction rassurante : le réseau industriel serait isolé, sans connexion à internet, donc hors d'atteinte. C'est le principe de l'air gap, cette séparation physique supposée infranchissable entre l'installation et l'extérieur.

Dans la pratique, cette séparation n'existe presque jamais de manière absolue. Et lorsqu'elle existe, elle est traversée en permanence par des flux physiques : clés USB, disques externes, ordinateurs portables de prestataires, cartes mémoire d'appareils de mesure. L'isolement du réseau ne supprime pas le besoin d'échanger des données ; il le déplace vers des supports que personne ne contrôle.

Chiffre clé : selon le Honeywell USB Threat Report de 2023, 52 % des logiciels malveillants détectés en environnement industriel y sont entrés par un support USB, et 26 % d'entre eux étaient en mesure de provoquer une perturbation grave du procédé, incluant la perte de visibilité sur l'exploitation et la perte de contrôle des systèmes.

Stuxnet : la preuve par l'histoire

L'exemple le plus connu demeure Stuxnet, découvert en 2010. Ce logiciel malveillant a endommagé physiquement des centrifugeuses d'enrichissement d'uranium en Iran. L'installation de Natanz était intégralement isolée d'internet ; l'introduction s'est faite par un support amovible.

Stuxnet ne relevait pas de l'accident. Il avait été conçu pour franchir l'air gap, se propager discrètement par supports amovibles, reconnaître des automates Siemens précis et modifier la vitesse de rotation des centrifugeuses tout en présentant aux opérateurs des valeurs normales. C'est cette dernière caractéristique qui explique la durée de l'opération avant sa découverte.

Depuis, la technique a été reprise à de nombreuses reprises. Les codes malveillants Industroyer, Triton et Pipedream ont établi que les environnements industriels constituent des cibles délibérées, et non des victimes collatérales.

Anatomie d'une attaque USB en milieu industriel

Voici le déroulement caractéristique d'une attaque par support amovible en contexte industriel. Chaque étape correspond à des mécanismes documentés dans des incidents analysés.

Chronologie d'une attaque USB

T+0 min Insertion : un technicien raccorde un support infecté à un poste de supervision ou à une station d'ingénierie. Le support peut être le sien, celui d'un prestataire, ou avoir été trouvé sur place.
T+2 min Exécution : le code exploite une fonction d'exécution automatique ou une vulnérabilité du système. Sur des postes industriels fonctionnant sous des versions anciennes et non corrigées, l'exploitation ne rencontre aucun obstacle.
T+5 min Reconnaissance : le code identifie l'environnement, le type d'automate, le logiciel de supervision installé et les protocoles employés, puis cartographie le réseau local.
T+15 min Propagation latérale : par les partages réseau, les connexions aux serveurs de supervision ou les protocoles industriels eux-mêmes, le code atteint d'autres postes du réseau.
T+30 min Action sur l'objectif : chiffrement des postes de supervision, modification des paramètres des automates, ou destruction des données de configuration selon la finalité poursuivie.
T+37 min Impact visible : les opérateurs constatent des anomalies. Les écrans ne répondent plus, les automates basculent en défaut, la production s'interrompt.

Le point marquant de cette chronologie n'est pas sa durée mais sa dernière ligne : l'organisation découvre l'incident au moment où la production s'arrête, c'est-à-dire une demi-heure après l'insertion et bien après que toute action de confinement aurait été utile.

Pourquoi les environnements OT marocains sont particulièrement vulnérables

Le tissu industriel marocain présente des facteurs de risque qui amplifient cette exposition :

  • Systèmes d'exploitation obsolètes : une part importante des postes de supervision et des stations d'ingénierie fonctionne encore sous des versions qui ne reçoivent plus de correctifs de sécurité, ce qui rend l'exploitation d'une vulnérabilité connue immédiate.
  • Recours étendu aux intervenants externes : la maintenance industrielle repose largement sur des intégrateurs, des constructeurs et des techniciens indépendants. Chacun se présente avec son propre matériel et ses propres habitudes en matière de sécurité.
  • Absence de politique sur les supports amovibles : peu d'industriels disposent d'une politique formalisée. Les ports des postes critiques sont rarement désactivés ou contrôlés.
  • Pression de production : lorsqu'une machine s'arrête en pleine nuit, la vérification préalable d'un support passe au second plan. C'est précisément dans ces circonstances que le risque se matérialise, ce qui justifie que la mesure soit technique plutôt que procédurale.

Ce que dit la loi 05-20

La loi 05-20 relative à la cybersécurité, applicable aux opérateurs d'infrastructures d'importance vitale et aux entités relevant du contrôle de la DGSSI, fixe des exigences en matière de protection des systèmes d'information. La sécurité des accès, tant physiques que logiques, en fait partie intégrante.

Un opérateur qui ne maîtrise pas les supports amovibles raccordés à ses systèmes critiques se trouve en écart par rapport à ces exigences. En cas d'incident, l'absence de mesures sur ce point peut être analysée comme une négligence lors des contrôles.

Rappel réglementaire : la DGSSI attend des OIV qu'ils mettent en œuvre des mesures de contrôle d'accès physique et logique pour leurs systèmes d'information sensibles. Le contrôle des supports amovibles relève explicitement de ce périmètre.

Sept mesures concrètes pour neutraliser la menace USB

Cette menace figure parmi les plus simples à réduire, à condition de la traiter comme une question technique et non comme une question de discipline. Les mesures sont classées ci-dessous du moins coûteux au plus coûteux ; demandez un devis pour celles qui supposent un investissement, car les montants dépendent du nombre de zones et du volume d'échanges.

  1. Désactiver les ports non nécessaires : au niveau du BIOS ou par une solution de contrôle des postes. Le coût est négligeable et l'effet immédiat. C'est la mesure la plus efficace, et la moins appliquée.
  2. Installer une station de décontamination : un poste dédié à l'entrée de chaque zone industrielle, par lequel tout support doit passer avant utilisation. Le coût dépend du nombre de zones à équiper.
  3. Instaurer une politique de supports certifiés : seuls les supports fournis par l'entreprise et chiffrés matériellement sont admis en zone industrielle, sans exception pour les supports personnels.
  4. Former les équipes de maintenance : non par un module générique sur l'hameçonnage, mais par une formation adaptée aux techniciens de terrain et aux situations qu'ils rencontrent.
  5. Mettre en place un transfert de fichiers maîtrisé : une passerelle dédiée, éventuellement unidirectionnelle, en remplacement des échanges par support. C'est la mesure la plus coûteuse de cette liste, et la seule qui supprime le besoin à l'origine du risque.
  6. Surveiller les connexions : déployez une détection qui signale en temps réel le raccordement d'un périphérique non autorisé, et intégrez ces alertes à votre supervision de sécurité.
  7. Encadrer les prestataires : insérez des clauses relatives aux supports amovibles dans les contrats de maintenance, et vérifiez leur application par des contrôles ponctuels.

Le vrai problème n'est pas technique

Les solutions techniques existent et restent accessibles. L'obstacle est culturel. Dans beaucoup de sites, la sécurité informatique est perçue comme un frein à la production, et le technicien qui raccorde son support ne cherche qu'à faire fonctionner l'installation.

C'est pourquoi le traitement de cette menace ne peut être uniquement technique. Il suppose une évolution qui commence par la direction : lorsque le responsable du site s'applique lui-même la règle, celle-ci cesse d'être perçue comme une contrainte imposée par un service extérieur.

La probabilité qu'un support infecté soit un jour raccordé dans votre usine est élevée, et cette probabilité ne dépend pas de vous. Ce qui en dépend, c'est l'écart entre une demi-heure de propagation et plusieurs semaines d'arrêt, et cet écart se joue sur des mesures qui coûtent peu.