Lorsqu'il est question de menaces sur les systèmes industriels, la pensée se porte spontanément vers le ransomware. C'est compréhensible : ces attaques occupent l'actualité, immobilisent des hôpitaux, interrompent des pipelines et coûtent des sommes considérables. Le ransomware reste toutefois un modèle économique. Les auteurs veulent de l'argent : ils chiffrent, vous payez, ils déchiffrent. Le procédé est brutal, mais sa logique est prévisible.
Une autre menace, nettement moins visible, obéit à une logique différente : le sabotage industriel conduit par des acteurs étatiques. Ces attaquants ne recherchent pas un paiement. Ils visent la destruction d'équipements, l'altération d'une production, ou la démonstration d'une capacité à interrompre une infrastructure au moment de leur choix.
Un précédent documenté : en janvier 2024, le directeur du FBI a déclaré devant le Congrès américain que des acteurs liés à la Chine, regroupés sous le nom de Volt Typhoon, étaient pré-positionnés dans des infrastructures critiques américaines, en mesure d'y porter atteinte au moment jugé opportun. La particularité de ce cas tient à l'absence d'attaque : la présence elle-même constituait l'objectif.
Chronologie des cyberattaques étatiques contre les systèmes OT
Le sabotage industriel par voie informatique n'est pas récent. Depuis plus de quinze ans, des outils sont développés spécifiquement pour produire des effets physiques.
La différence fondamentale : ransomware vs sabotage
Ces deux menaces diffèrent sur quatre points, et ces différences ont des conséquences directes sur la manière de s'en protéger.
Motivation. L'auteur d'un ransomware a intérêt à ce que votre entreprise survive, faute de quoi il n'est pas payé. L'acteur étatique cherche à maximiser les effets, l'ampleur des dommages faisant partie du message.
Patience. L'affilié recherche un résultat rapide : intrusion, déploiement, demande de paiement en quelques jours. L'acteur étatique peut demeurer présent des mois sans agir, en cartographiant les systèmes et en apprenant le fonctionnement du procédé. Lorsqu'il agit, il sait exactement quoi atteindre.
Moyens. Le ransomware exploite des vulnérabilités connues et des outils disponibles. Les codes étatiques sont développés sur mesure pour des équipements précis, ce qui suppose des équipes et des délais dont ne disposent pas les groupes criminels.
Cible. Le ransomware atteint la production par ricochet, en chiffrant les postes de supervision. Le sabotage vise directement les équipements de conduite : modification des logiques, neutralisation des protections, envoi de commandes hors limites.
La notion de pré-positionnement : l'accès est établi en période calme et maintenu sans être exploité, l'action n'étant déclenchée qu'en cas de nécessité. Cette approche explique pourquoi la détection est si difficile : il n'y a rien à détecter, sinon une présence discrète et des accès qui restent valides.
Pourquoi le Maroc est concerné
Il serait erroné de considérer que ce type de menace ne concerne que les grandes puissances. Quatre éléments placent le Maroc dans le champ.
Position géostratégique. Le pays constitue un point de passage entre l'Europe et l'Afrique, avec des infrastructures énergétiques, portuaires et de télécommunications qui jouent un rôle régional.
Place dans les chaînes d'approvisionnement. Les entreprises marocaines qui fournissent des groupes européens constituent des cibles indirectes. Compromettre un fournisseur peut ouvrir l'accès à une cible située ailleurs ; l'attaque ne vous vise pas, elle vous traverse.
Développement industriel rapide. Les investissements dans l'industrie, les zones d'activité et les énergies renouvelables produisent des installations récentes, souvent mises en service avec un niveau de sécurité industrielle minimal.
Capacités de détection limitées. Les acteurs étatiques sont conçus pour rester invisibles. Lorsque des organisations disposant de moyens considérables mettent des années à identifier une telle présence, la probabilité qu'une PME y parvienne sans surveillance dédiée est faible.
Les signaux faibles à surveiller
Le pré-positionnement est par nature discret, mais certains signaux méritent attention :
- Comptes dormants réactivés : des comptes sans usage qui présentent soudainement une activité, en particulier hors des heures de travail
- Trafic réseau inhabituel : des communications vers des destinations étrangères, y compris en faible volume, la nuit ou le week-end
- Modifications de configuration : des changements de règles de filtrage, de configuration d'automates ou de paramètres de supervision que personne n'a demandés
- Usage détourné d'outils légitimes : les outils d'administration déjà présents sur les systèmes sont privilégiés, précisément parce que leur présence n'éveille pas de soupçon. C'est leur usage inhabituel qui constitue le signal
- Activité de reconnaissance : balayages internes, requêtes inhabituelles, tentatives d'accès à des ressources rarement sollicitées
Comment se préparer
La défense contre ce type d'acteur diffère de celle qui vise le ransomware.
Segmentation en profondeur. Ne vous limitez pas à séparer bureautique et production. Segmentez également à l'intérieur de l'environnement industriel selon le modèle des zones et conduits. Les systèmes instrumentés de sécurité doivent en outre être isolés des systèmes de conduite.
Surveillance continue. Déployez une surveillance capable de relever des écarts discrets : un automate qui communique avec une destination qu'il n'a jamais sollicitée, un protocole employé à un moment inhabituel, une modification de micrologiciel non planifiée.
Vérification d'intégrité. Comparez périodiquement la configuration de vos automates avec une référence conservée hors ligne. Une logique de conduite modifiée sans intervention de vos équipes constitue un constat suffisant pour déclencher une analyse.
Plan de réponse adapté. Votre plan couvre probablement le ransomware. Couvre-t-il le cas où la logique de commande a été modifiée pour provoquer une condition dangereuse, ou celui où les protections ont été neutralisées à votre insu ? Ces deux scénarios appellent des décisions différentes.
Coopération avec le maCERT. Signalez incidents et comportements suspects. Un indicateur relevé dans une organisation permet d'en protéger d'autres, et c'est le seul mécanisme qui compense l'asymétrie de moyens face à ce type d'adversaire.
Le rôle de la loi 05-20
La loi et la désignation des opérateurs prennent tout leur sens dans ce contexte. Ce cadre n'a pas été établi pour répondre à une délinquance opportuniste, mais pour protéger des infrastructures dont l'interruption aurait des conséquences nationales. Les exigences relatives aux systèmes sensibles, à la notification des incidents et à la coopération avec le maCERT découlent directement de cette préoccupation.
Conclusion : préparez-vous au pire scénario
Le ransomware constitue une nuisance coûteuse ; le sabotage étatique relève d'un autre ordre. La différence ne tient pas à la technique employée, qui repose sur les mêmes protocoles et les mêmes faiblesses, mais à l'intention. L'un a besoin que vous surviviez pour être payé, l'autre non.
N'organisez donc pas votre défense sur le seul scénario du ransomware. Prenez pour hypothèse un adversaire patient, doté de moyens, déjà présent, qui comprend votre procédé et choisit son moment. Un dispositif qui tient face à cette hypothèse tient face aux autres ; l'inverse n'est pas vrai.