Lorsqu'il est question de cybersécurité industrielle, l'attention se porte sur les automates, les systèmes de supervision et les équipements de production. Une catégorie échappe presque systématiquement à cet examen : les systèmes de gestion technique du bâtiment. C'est précisément ce qui en fait un point d'entrée intéressant.
Climatisation, contrôle d'accès par badge, détection incendie, ascenseurs, éclairage : ces équipements sont aujourd'hui raccordés à un réseau, souvent le même que celui de vos serveurs et de vos postes de travail. Dans la majorité des cas, personne n'en assure la surveillance.
La leçon de Target : 40 millions de cartes bancaires volées via la climatisation
En décembre 2013, l'enseigne américaine Target a subi l'une des plus importantes violations de données de la période. Quarante millions de numéros de cartes bancaires et les données personnelles de soixante-dix millions de clients ont été dérobés, pour un coût net qui a dépassé 202 millions de dollars.
La voie d'entrée était le prestataire chargé de la climatisation, Fazio Mechanical Services, qui disposait d'un accès au réseau de Target pour la facturation et le suivi des projets. Les attaquants ont d'abord compromis ce prestataire, récupéré ses identifiants, puis progressé depuis ce point d'accès jusqu'au réseau de paiement.
L'affaire a plus de dix ans, et la configuration qui l'a rendue possible reste courante dans les organisations que nous auditons.
La liste des systèmes oubliés
Voici les systèmes qui, dans la plupart des bâtiments industriels et tertiaires, sont raccordés au réseau sans que l'équipe informatique en ait connaissance :
Les systèmes que personne ne surveille
- Chauffage, ventilation et climatisation : souvent gérés par un prestataire disposant d'un accès distant permanent et d'identifiants d'origine.
- Contrôle d'accès physique : lecteurs de badges, serrures électriques et interphones, communiquant fréquemment sans chiffrement et rarement mis à jour.
- Détection incendie : les centrales modernes sont raccordées pour la supervision à distance, avec un micrologiciel qui n'a parfois jamais évolué depuis l'installation.
- Ascenseurs : équipés de liaisons pour la maintenance prédictive, avec un accès constructeur généralement ouvert en permanence.
- Éclairage piloté : les systèmes connectés partagent fréquemment le segment réseau des postes de travail.
- Vidéosurveillance : caméras et enregistreurs figurent parmi les cibles les plus recherchées. Le botnet Mirai a montré l'ampleur du parc accessible avec des identifiants d'origine.
- Compteurs d'énergie : installés pour optimiser la consommation, ils communiquent sur le réseau et sortent rarement du champ des politiques de sécurité.
- Systèmes de gestion de l'eau et d'irrigation : répandus dans les complexes industriels et généralement absents de tout inventaire.
Pourquoi la GTB est un vecteur d'attaque idéal
Ces systèmes réunissent les caractéristiques qu'un attaquant recherche.
1. Absence de segmentation. Dans la grande majorité des bâtiments que nous auditons, ces équipements se trouvent sur le même réseau que le système d'information de l'entreprise, sans segment dédié ni filtrage entre la climatisation et les serveurs de gestion. Compromettre le contrôleur revient alors à disposer d'un point de départ vers les données sensibles.
2. Identifiants d'origine. Ces systèmes sont livrés avec des comptes d'administration standards, que l'installateur connaît, que le mainteneur connaît, et qui figurent dans des documentations librement accessibles. Ils sont rarement modifiés.
3. Accès distant insuffisamment protégé. Les prestataires de maintenance demandent un accès permanent pour intervenir rapidement. Cet accès prend souvent la forme d'une connexion sans authentification multifacteur, ouverte en continu et surveillée par personne.
4. Absence de mises à jour. Ces contrôleurs ont une durée de vie de quinze à vingt ans et leur micrologiciel n'évolue pratiquement jamais. Les vulnérabilités publiées s'accumulent sans être traitées, et l'absence de surveillance fait que rien ne le signale.
5. Invisibilité pour l'équipe informatique. La gestion technique relève des services généraux, non de l'informatique. Ces systèmes n'apparaissent donc dans aucun inventaire, ne sont couverts par aucune analyse de vulnérabilités et n'entrent dans aucune politique de sécurité.
Ce que montrent les inventaires : l'écart entre le nombre d'équipements que l'équipe informatique pense connaître et le nombre effectivement raccordé est le point de départ de presque tous les incidents décrits ici. Claroty a analysé près d'un million d'équipements OT dans 270 organisations pour State of CPS Security: OT Exposures 2025 et y a relevé 111 000 équipements porteurs d'une vulnérabilité activement exploitée, dont 68 % sont rattachées à des groupes de rançongiciel. Tant qu'un inventaire n'a pas été fait, ces équipements ne figurent nulle part dans l'analyse de risques.
Le contexte réglementaire marocain
La loi 05-20 et les directives de la DGSSI ne distinguent pas les systèmes informatiques classiques des systèmes de gestion technique. Dès lors qu'un équipement est raccordé au réseau d'un opérateur concerné, il entre dans le périmètre de conformité. L'argument selon lequel il ne s'agirait que d'un équipement de confort ne résiste pas à un contrôle.
L'IEC 62443, de plus en plus utilisée comme référence dans le contexte marocain, exige par ailleurs la segmentation des réseaux et l'identification de l'ensemble des actifs raccordés, systèmes de support inclus.
Plan d'action en cinq étapes
Sécuriser ces systèmes relève davantage de la méthode que du budget.
- Inventoriez les équipements raccordés. Procédez à un relevé complet et comparez-le à ce que l'équipe informatique pense connaître. Documentez pour chacun le type, le constructeur, la version, l'adresse et le responsable.
- Segmentez. Placez ces systèmes dans un segment dédié, isolé du réseau bureautique et du réseau de production, avec des règles de filtrage strictes entre segments.
- Changez tous les identifiants d'origine, y compris ceux des caméras, des contrôleurs de climatisation et des centrales incendie. Cette mesure ne coûte rien et retire aux attaquants leur méthode la plus simple.
- Encadrez l'accès des prestataires. Remplacez les accès permanents par des accès à la demande avec authentification multifacteur, enregistrez les sessions et limitez les plages horaires. Une solution de gestion des accès privilégiés se facture généralement par compte administré, ce qui rend le coût proportionnel au nombre de prestataires réellement concernés.
- Intégrez ces systèmes à votre programme de sécurité : analyses de vulnérabilités, tests d'intrusion, mise à jour des micrologiciels et collecte des journaux.
Qui est responsable ?
C'est souvent la question la plus délicate. Ces systèmes relèvent traditionnellement des services généraux. L'informatique ne souhaite pas s'en charger, la sécurité ignore leur existence, et le prestataire n'a pas d'intérêt à complexifier son accès.
Le critère utile est pourtant simple : ce qui est raccordé au réseau relève de la sécurité du système d'information. Un contrôleur compromis ouvre un accès de la même manière qu'un poste de travail compromis, et cette équivalence ne souffre pas d'exception liée à la nature de l'équipement.
Le boîtier de contrôle d'accès placé à côté de la porte d'entrée illustre ce point. Il est raccordé au réseau, il conserve probablement ses identifiants d'origine, et son micrologiciel date de son installation. Il ne figure sur aucun inventaire, ce qui en fait le point d'entrée le moins surveillé de votre bâtiment.