Lancer une cyberattaque exigeait autrefois des compétences techniques poussées : connaissance des systèmes, maîtrise des protocoles, développement de ses propres outils. Ce n'est plus le cas. Des kits complets se louent aujourd'hui pour l'équivalent de quelques centaines de dirhams, avec documentation et assistance. C'est le principe du Ransomware-as-a-Service.
Pour les PME industrielles marocaines, cette évolution modifie l'équation du risque. Il n'est plus nécessaire de présenter un intérêt stratégique pour être attaqué ; il suffit d'être accessible. Avec un grand nombre d'affiliés à la recherche de cibles faciles, la sélection ne repose plus sur l'identité de la victime mais sur son niveau d'exposition.
L'ampleur du phénomène : selon le rapport OT Cybersecurity Year in Review 2026 de Dragos, 3 300 organisations industrielles ont été touchées par un ransomware en 2025, contre 1 693 l'année précédente. Le nombre de groupes visant spécifiquement ces environnements est passé de 80 à 119 sur la même période, ce qui traduit l'arrivée continue de nouveaux entrants dans un modèle devenu accessible.
Comment fonctionne le modèle RaaS
Le fonctionnement reprend celui d'une offre de service classique. Un groupe de développeurs conçoit le logiciel, l'infrastructure de commande, le portail de paiement et l'assistance destinée aux victimes, puis recrute des affiliés chargés de trouver et de compromettre les cibles.
conçoit le code
de distribution
conduit l'attaque
chiffrée
partagée
Le partage s'établit habituellement à l'avantage de l'affilié, qui conserve la majeure partie du produit. Certaines plateformes proposent un abonnement mensuel, d'autres fonctionnent uniquement à la commission. Les plus élaborées mettent à disposition des tableaux de bord, des statistiques de taux de paiement et des équipes de négociation.
Le catalogue du cybercriminel : comment se vend le rançongiciel
CrowdStrike décrit quatre modèles de commercialisation et situe le prix d'un kit entre 40 dollars par mois et plusieurs milliers de dollars. Ce qui compte ici n'est pas le tarif exact, qui varie selon les plateformes et les périodes, mais le fait que le modèle le plus répandu ne demande aucune avance de fonds.
| Modèle | Ce que paie l'affilié | Ce que cela suppose |
|---|---|---|
| Abonnement mensuel | À partir de 40 dollars par mois | Aucune compétence de développement, le code et l'assistance sont fournis |
| Programme d'affiliation | Un abonnement, plus 20 à 30 % des gains reversés au développeur | Le développeur fournit le code, l'infrastructure de commande et le portail de paiement |
| Licence unique | Un paiement en une fois, sans partage ultérieur | Une avance plus élevée, mais l'intégralité des gains |
| Partage de gains seul | Rien à l'avance, une part de chaque rançon | Aucune barrière financière à l'entrée |
Zéro barrière à l'entrée : n'importe qui peut devenir cybercriminel
Ce qui distingue ce modèle est la disparition du prérequis technique. Une personne disposant d'une connexion et de quelques centaines de dirhams en cryptomonnaie peut déclencher une attaque susceptible d'immobiliser une usine. Le cas du groupe LAPSUS$ l'a illustré : en 2022, ce collectif animé par de très jeunes membres a compromis plusieurs grandes entreprises technologiques, sans recourir à des méthodes particulièrement élaborées.
Les plateformes fournissent :
- des tutoriels expliquant comment identifier des cibles, exploiter des faiblesses et déployer le code
- une assistance permanente destinée aux affiliés
- des espaces d'échange où circulent conseils et listes de cibles
- des outils automatisés qui recherchent les systèmes vulnérables et les exploitent sans intervention
- des mises à jour régulières destinées à contourner les solutions de détection
Pourquoi l'industrie marocaine est une cible privilégiée
Les affiliés ne visent pas les organisations les mieux protégées, mais celles qui sont accessibles et susceptibles de payer. L'industrie réunit fréquemment ces deux caractéristiques.
Accessibilité. De nombreuses PME industrielles exposent des services d'accès distant sur internet, emploient des mots de passe faibles, n'ont pas activé l'authentification multifacteur et n'appliquent pas les correctifs. Ce sont exactement les critères que recherchent les outils de balayage automatique.
Propension à payer. Une ligne à l'arrêt cesse de produire de la marge dès la première heure, alors que les charges continuent de courir. Confrontée à une demande inférieure au coût de quelques journées d'arrêt, l'entreprise se trouve devant un calcul que les attaquants ont anticipé.
Maturité limitée. Peu de PME industrielles disposent d'un plan de réponse aux incidents, et moins encore de sauvegardes hors ligne dont la restauration a réellement été éprouvée. Dans ces conditions, l'attaque n'a pas besoin d'être élaborée pour aboutir.
Le modèle de la double extorsion : les groupes actuels ne se limitent plus au chiffrement. Les données sont d'abord exfiltrées, puis leur publication est menacée. L'existence de sauvegardes, qui résout la question de la disponibilité, ne répond alors plus à celle de la divulgation.
L'impact spécifique sur les environnements OT
Lorsqu'un ransomware atteint l'informatique de gestion, l'accès aux messageries et aux fichiers est interrompu. Lorsqu'il atteint la production, la nature des conséquences change :
- Arrêt de production : des postes de supervision chiffrés rendent la conduite du procédé impossible. Sans visibilité sur les paramètres, l'arrêt devient la seule option prudente.
- Perte de visibilité : si les historiques sont chiffrés, il n'est plus possible de suivre l'évolution des paramètres ni de connaître l'état des équipements.
- Risques physiques : l'arrêt non maîtrisé d'un procédé chimique ou énergétique peut entraîner des emballements, des surpressions ou des rejets.
- Durée de rétablissement : réinstaller un poste bureautique prend une heure. Reconstituer un système de supervision, avec ses variables, ses synoptiques et ses logiques d'alarme, demande des semaines.
Comment se protéger : les fondamentaux
La plupart de ces attaques exploitent des faiblesses élémentaires, ce qui signifie que la protection relève davantage de la constance que du budget.
Supprimer les accès distants exposés. Vérifiez ce que vos adresses publiques laissent voir. Un service d'accès distant joignable depuis internet doit être fermé ou placé derrière une connexion protégée par authentification multifacteur.
Généraliser l'authentification multifacteur sur les accès distants, la messagerie et les consoles d'administration. Un mot de passe dérobé cesse alors de suffire.
Maintenir des sauvegardes hors ligne selon le principe de trois copies sur deux supports, dont une hors ligne, et éprouver la restauration chaque trimestre.
Segmenter production et bureautique. Un code introduit par un message frauduleux ne doit pas pouvoir atteindre les automates. C'est la mesure structurelle dont l'effet est le plus durable.
Associer les équipes. Si l'exploitation de vulnérabilités a pris la première place parmi les voies d'accès, l'hameçonnage reste largement utilisé. Simulez des campagnes, formez les collaborateurs et faites en sorte que signaler un message douteux soit valorisé plutôt que sanctionné.
Ce que la loi 05-20 exige
Pour les opérateurs désignés, la protection contre ce type d'attaque ne relève pas d'un choix. La loi impose des mesures proportionnées aux risques, la notification des incidents au maCERT et la capacité à maintenir l'activité. Un opérateur immobilisé par un outil accessible pour quelques centaines de dirhams se trouverait en difficulté pour établir le caractère proportionné de ses mesures.
Conclusion : la menace s'est démocratisée, votre défense doit suivre
Ce modèle a transformé la cybercriminalité en activité de volume. Les attaquants n'ont plus besoin de compétences particulières, ce qui rend caduque la posture consistant à s'estimer hors de portée : la sélection ne se fait plus sur l'intérêt de la cible.
Ce qui reste sous votre contrôle est le niveau d'effort nécessaire pour vous atteindre. Dans un modèle fondé sur le volume, un effort supplémentaire modeste suffit souvent à faire porter la recherche ailleurs.