Lorsqu’une usine est contrainte d’interrompre sa production, les coûts s’accumulent et les clients attendent des réponses. Les groupes d’auteurs de ransomware exploitent de plus en plus cette pression en ciblant les systèmes dont dépendent les entreprises industrielles pour poursuivre leurs activités.
Les données montrent que le nombre de victimes de ransomware dans le secteur manufacturier, qui s'élève à 1 183 entre le 1er janvier et le 29 juillet 2026, a augmenté de 39,7 % par rapport à l'année précédente. Le nombre de victimes européennes a quant à lui bondi de 85,4 %.
Il s’agissait d’attaques contre des fabricants, et pas nécessairement contre leurs technologies opérationnelles (OT). Mais les attaquants n’ont pas besoin de compromettre les contrôleurs industriels pour interrompre la production. Il suffit parfois de désactiver les applications, les comptes ou l’infrastructure qui les soutiennent.
Cet attrait tient à la combinaison de temps d’arrêt coûteux, de systèmes interconnectés et d’une reprise difficile. Les criminels peuvent faire pression sur une organisation en interrompant ses opérations, en volant des informations sensibles ou en menaçant de faire les deux.
Pour une entreprise industrielle, cela peut se traduire par des objectifs de production non atteints, des retards dans les commandes des clients et une incapacité à coordonner les fournisseurs. La reprise peut nécessiter l’intervention d’équipes d’ingénieurs pour valider les systèmes avant de redémarrer les processus physiques.
La logique commerciale est simple : plus une organisation a du mal à fonctionner sans ses systèmes, plus les attaquants peuvent exercer de pression. Cela ne signifie pas pour autant qu’une victime paiera, ni que ce paiement permettra de rétablir les opérations.
L’incident lié à un rançongiciel survenu en juillet 2026 chez Fairlife, filiale de Coca-Cola, en est un exemple clair.
Le 16 juillet, Coca-Cola a confirmé un accès non autorisé aux systèmes de Fairlife, y compris aux systèmes liés à la production, dans le cadre d’une attaque par ransomware. Les opérations de production aux États-Unis ont été temporairement suspendues. L’entreprise a déclaré que la qualité et la sécurité des produits n’avaient pas été affectées, et que la production canadienne n’avait pas été touchée.
Le 27 juillet, Coca-Cola a annoncé que la majeure partie de la production avait repris dans les quatre sites américains de Fairlife. L’entreprise a également confirmé que des données avaient été dérobées. Les stocks existants avaient largement permis d’assurer la disponibilité des produits dans le commerce, et l’entreprise ne s’attendait pas à un impact financier significatif sur la base des informations alors disponibles.
Cet incident montre comment un rançongiciel peut affecter les systèmes liés à la production et interrompre les opérations physiques. Il ne permet pas d’établir que les attaquants ont manipulé des contrôleurs industriels, et il ne doit pas être présenté comme tel.
Pour d’autres fabricants, la question concrète est de savoir si la production pourrait se poursuivre si un système d’une importance similaire venait à être indisponible.
Les opérations industrielles ne dépendent pas uniquement des équipements présents dans l’usine. Les services d’authentification, les postes de travail d’ingénierie, la planification de la production et d’autres systèmes de soutien peuvent tous influencer la capacité d’un site à fonctionner.
Certaines de ces dépendances relèvent de l’OT. D’autres relient les processus opérationnels à l’informatique d’entreprise.
Dragos a mis en évidence ce problème de classification dans son rapport 2026 sur la cybersécurité OT/ICS, soulignant que les postes de travail d’ingénierie et les interfaces homme-machine peuvent être qualifiés à tort de systèmes informatiques simplement parce qu’ils fonctionnent sous Windows. Leur système d’exploitation ne modifie en rien leur rôle opérationnel.
En matière de défense, cela implique que les organisations doivent comprendre ce que fait chaque système et ce qui en dépend. Une simple limite de réseau ne permet pas de déterminer si la production peut survivre à la perte d’un service partagé.
L’assistance à distance aide les ingénieurs et les fournisseurs à entretenir les équipements sans être physiquement présents. Cependant, un accès mal contrôlé peut également constituer une porte d’entrée vers les environnements opérationnels.
Les recommandations du NCSC sur la connectivité OT, publiées en janvier 2026, préconisent de réduire cette exposition grâce à des mesures telles que l’accès « juste à temps » et les connexions intermédiées via des passerelles contrôlées. Ces approches permettent d’éviter d’exposer directement les actifs OT aux réseaux externes.
Les organisations doivent être en mesure de déterminer qui dispose d’un accès à distance, à quels actifs cette personne peut accéder, quand cet accès est nécessaire et comment il peut être révoqué.
Un dispositif d’accès qui reste actif longtemps après la fin d’une tâche de maintenance crée une exposition inutile. Il en va de même lorsqu’un compte fournisseur dispose d’autorisations plus étendues que ne l’exige son travail.
Le remplacement ou la mise à jour d’un équipement industriel peut nécessiter une planification opérationnelle, des vérifications de compatibilité et une fenêtre de maintenance appropriée.
Ces contraintes peuvent obliger les organisations à gérer des systèmes plus anciens pendant de longues périodes. Le NCSC reconnaît que de nombreux systèmes OT sont difficiles à mettre à jour ou à remplacer, ce qui rend particulièrement importantes une protection solide des périmètres et la segmentation.
Cela devrait influencer la manière dont les vulnérabilités sont hiérarchisées. Les équipes doivent déterminer si un équipement est accessible, ce qu’il contrôle et quelles protections existent déjà.
Lorsqu’une correction immédiate n’est pas envisageable, limiter la connectivité et renforcer la surveillance peut contribuer à réduire les risques pendant la planification d’une solution à plus long terme.
Le 12 mai 2026, Foxconn a confirmé que certaines de ses usines nord-américaines avaient subi une cyberattaque. Dans son communiqué, l’entreprise a indiqué que des mesures de réponse avaient été mises en œuvre et que les usines touchées reprenaient une production normale.
Par ailleurs, le groupe de ransomware Nitrogen a revendiqué l’attaque et affirmé avoir volé des données. Ces allégations vont au-delà de ce que Foxconn a confirmé publiquement et doivent être considérées comme des déclarations des attaquants.
La perturbation confirmée des usines illustre les conséquences opérationnelles d’une attaque visant un grand fabricant. Elle soulève également une question relative à la chaîne d’approvisionnement : comment les clients maintiendraient-ils leur production si un fournisseur essentiel ne pouvait plus livrer ?
Pour les responsables de la sécurité et des opérations, la dépendance vis-à-vis des fournisseurs doit être prise en compte dans la planification en matière de ransomware. La résilience de votre organisation peut être affectée par un incident survenant en dehors de son propre environnement.
Les données montrent une pression croissante des ransomwares sur les organisations industrielles. Cela ne signifie pas pour autant que chaque incident dans le secteur manufacturier implique une compromission directe des équipements OT.
Un rapport publié en février 2026 a recensé 119 groupes de ransomware ciblant des organisations industrielles en 2025, contre 80 en 2024, touchant au total 3 300 organisations. Il s’agit d’observations de 2025 publiées en 2026, et non du bilan total des incidents de 2026.
Une entreprise industrielle peut subir une perturbation opérationnelle de plusieurs façons :
Il est important de déterminer quel scénario s’est produit pour mener l’enquête et assurer la reprise des activités. Ces trois cas doivent être pris en compte lors de la planification de la résilience.
Commencez par un objectif concret : identifiez ce qui pourrait interrompre les opérations et réduisez les voies par lesquelles un attaquant pourrait provoquer une telle interruption.
Tenez à jour un inventaire qui relie les actifs à leur fonction, à leurs propriétaires et aux processus critiques. Incluez les postes de travail des ingénieurs, l’infrastructure d’accès à distance et les services de soutien nécessaires au maintien de la production.
Utilisez ces informations pour identifier les cas où un seul compte, une seule connexion ou un seul service compromis pourrait affecter plusieurs domaines opérationnels.
Appliquez le principe du «privilège minimal» aux employés, aux sous-traitants et aux fournisseurs. Protégez les accès externes à l’aide d’une authentification forte, supprimez les autorisations superflues et réexaminez les droits d’accès lorsque les rôles ou les relations avec les fournisseurs évoluent.
La segmentation doit restreindre les communications entre l’informatique (IT) et les technologies opérationnelles (OT), ainsi qu’au sein des environnements opérationnels. Le NCSC identifie la segmentation, l’authentification multifactorielle (MFA) résistante au phishing et le principe du « privilège minimal » comme des protections essentielles des périmètres OT.
Les décisions de confinement doivent être convenues avec les équipes opérationnelles avant qu’un incident ne se produise.
Le NCSC recommande d’établir un plan d’isolement. Lorsque l’architecture le permet, les organisations peuvent être en mesure de déconnecter un service affecté ou de révoquer l’accès d’un fournisseur tout en conservant les autres connexions nécessaires.
Des exercices doivent permettre de vérifier qui autorise l’isolement, comment les équipes opérationnelles communiquent et quelles preuves sont requises avant la reconnexion.
Un exercice de reprise utile ne doit pas se limiter à vérifier si une sauvegarde peut être restaurée.
L’organisation serait-elle en mesure de restaurer les systèmes nécessaires au redémarrage d’un processus critique ? Les configurations sont-elles disponibles et fiables ? Quels fournisseurs ou ingénieurs seraient nécessaires ? Quels contrôles doivent être effectués avant la reprise de la production ?
Ces questions transforment la préparation face aux ransomwares en un exercice opérationnel impliquant les équipes de sécurité, d’ingénierie et de continuité des activités.
Integrity360 aide les organisations à évaluer et à renforcer la sécurité des systèmes OT grâce à des services de conseil, d’audit, d’ingénierie et de réponse aux incidents. Notre travail comprend l’analyse des risques, la classification des actifs, les tests de résilience face aux ransomwares et l’accompagnement pour une infrastructure OT sécurisée.
La priorité est de comprendre vos vulnérabilités opérationnelles, de remédier aux faiblesses les plus critiques et de préparer vos équipes à réagir en cas de perturbation.
Contactez Integrity360 pour protéger votre environnement OT
Pourquoi les groupes de ransomware ciblent-ils les environnements OT ?
Les entreprises industrielles peuvent subir une pression considérable lorsque la production ou les services essentiels sont interrompus. Les attaquants cherchent à exploiter cette pression, en particulier lorsque les dépendances opérationnelles, les accès exposés ou la difficulté de reprise augmentent l’impact.
Un rançongiciel peut-il interrompre la production sans infecter les contrôleurs industriels ?
Oui. La production peut dépendre d’autres systèmes qui deviennent indisponibles, ou les opérateurs peuvent être amenés à isoler des systèmes lors d’un incident. Un arrêt de production ne prouve pas à lui seul que les contrôleurs industriels ont été compromis.
Quel est un exemple confirmé de rançongiciel industriel datant de 2026 ?
Fairlife a temporairement suspendu sa production aux États-Unis à la suite d’un incident lié à un rançongiciel révélé le 16 juillet 2026. Coca-Cola a confirmé que des systèmes liés à la production étaient concernés et a annoncé par la suite que la majeure partie de la production avait repris dans quatre sites américains.
Quelles priorités les organisations doivent-elles se fixer pour réduire le risque de ransomware dans les technologies opérationnelles (OT) ?
Les priorités comprennent la visibilité des actifs et des dépendances, l’accès à distance contrôlé, la segmentation, les mesures correctives basées sur les risques, ainsi que des procédures d’isolement et de reprise testées. Les équipes de sécurité et d’exploitation doivent convenir ensemble de ces mesures.