En octobre 2026, entre 250 et 350 supermarchés français ont vu leurs systèmes de réfrigération manipulés à distance par des attaquants. En novembre, le sang humain stocké dans trois établissements de l'EFS a failli être compromis. Ce n'est pas de la science-fiction. Ce n'est pas un cas théorique pour conférence. C'est ce qui s'est passé il y a 72 heures. L'ère des cyberattaques à conséquences physiques n'arrive pas — elle est là.

L'ère des conséquences physiques : la bascule de 2026

Pendant des années, la communauté cybersécurité a parlé des attaques OT (Operational Technology) et ICS (Industrial Control Systems) comme d'une menace future. Les incidents emblématiques — Stuxnet en 2010 contre les centrifugeuses iraniennes, l'attaque contre le réseau électrique ukrainien en 2015 et 2016, l'incident de Triton en 2017 contre des systèmes de sécurité pétroliers en Arabie Saoudite — restaient perçus comme des opérations d'États-nations sophistiqués, réservées à des cibles stratégiques de haute valeur. Des incidents remarquables mais lointains, qui ne parlaient pas aux RSSI de PME industrielles ou de gestionnaires d'entrepôts frigorifiques.

Cette perception était fausse, et 2026 le démontre brutalement. La vague d'attaques sur les systèmes de réfrigération en Europe n'implique pas des centrifugeuses d'enrichissement d'uranium ni des turbines de centrale électrique. Elle cible des frigos de supermarché. Et c'est précisément pour ça qu'elle est plus alarmante que Stuxnet. L'accès à des cibles OT accessibles sur internet, couplé à la faiblesse généralisée de leur sécurité, a créé une surface d'attaque gigantesque à portée d'acteurs bien moins sophistiqués que les APT étatiques d'il y a dix ans.

La chaîne causale entre une cyberattaque et une conséquence physique était autrefois longue et complexe. Elle se raccourcit chaque année. Aujourd'hui, un contrôleur de température exposé sur internet avec ses identifiants par défaut peut être compromis en quelques minutes par un attaquant de niveau intermédiaire. La commande qui active le dégivrage et fait monter une chambre froide à 50°C est triviale à envoyer une fois l'accès obtenu. Les pertes économiques et sanitaires, elles, sont immédiates et réelles.

Il faut nommer clairement ce que cela signifie : pour la première fois à grande échelle, des cyberattaques produisent des effets dans le monde physique sur des infrastructures civiles banales. Pas des pipelines pétroliers, pas des centrales nucléaires — des supermarchés et des banques de sang. Et si les supermarchés peuvent être ciblés, c'est toute la chaîne du froid industrielle qui est concernée : stockage pharmaceutique, conservation des vaccins, stockage du sang, chaîne d'approvisionnement alimentaire. La question n'est plus de savoir si votre organisation sera ciblée — c'est de savoir dans combien de temps.

L'illusion de l'air gap OT : pourquoi « déconnecté » ne veut plus rien dire

La croyance la plus dangereuse dans le monde OT est celle de l'air gap : l'idée que les systèmes de contrôle industriels sont physiquement séparés des réseaux informatiques d'entreprise et d'internet, et que cette séparation physique les protège. Cette croyance est fausse dans la quasi-totalité des environnements OT modernes, et elle l'est depuis bien plus longtemps qu'on ne le reconnaît généralement.

L'air gap réel — une séparation physique totale sans aucune connexion réseau — n'existe pratiquement plus pour une raison simple : la maintenance à distance. Les fabricants d'automates, de contrôleurs de température, de SCADA et de systèmes DCS ont tous, à un moment ou un autre, demandé ou imposé un accès à distance pour la maintenance, les mises à jour, le diagnostic et le support. Des connexions ont été ajoutées — parfois de manière temporaire puis oubliées, parfois de manière permanente — pour faciliter ce support. L'IT et l'OT se sont progressivement rapprochés, non par décision stratégique mais par commodité opérationnelle.

Selon une étude de Claroty publiée en 2026, 70 % des environnements OT industriels ont au moins une connexion directe ou indirecte vers internet, et 40 % de ces connexions ne sont pas documentées dans l'inventaire réseau officiel. Des modems 4G installés par des prestataires de maintenance pour un « accès d'urgence ponctuel » et jamais retirés. Des VPN configurés rapidement pendant le COVID pour permettre la téléopération et jamais sécurisés ou désactivés depuis. Des connexions directes vers des services cloud des fabricants d'équipements pour les diagnostics. L'air gap est perforé de milliers de trous invisibles.

Pour les systèmes de réfrigération spécifiquement, la situation est pire encore. Les contrôleurs de température électroniques modernes sont conçus avec des interfaces de gestion distante comme fonctionnalité native. Les fabricants proposent tous des solutions de monitoring et de gestion à distance pour leurs systèmes. Ces solutions sont légitimes et utiles opérationnellement — elles permettent de détecter rapidement une panne et d'éviter des pertes. Mais leur déploiement est souvent réalisé par des techniciens de maintenance qui ne sont pas des experts cybersécurité, avec les configurations réseau les plus simples possibles : exposition directe sur internet, identifiants par défaut, absence de VPN.

Le résultat est prévisible. Des moteurs de recherche spécialisés dans les équipements connectés — comme Shodan, Censys ou FOFA — permettent d'identifier en quelques secondes des centaines de milliers de contrôleurs de température industriels directement accessibles depuis internet. Certains sont configurés avec des interfaces web propriétaires où les identifiants administrateur par défaut sont publiquement documentés dans les manuels constructeurs. L'accès à un tel système prend littéralement moins de cinq minutes pour un attaquant sachant quoi chercher.

Les vecteurs d'attaque OT en 2026 : un catalogue de failles négligées depuis des années

Les vecteurs d'attaque contre les systèmes OT ne sont pas mystérieux. Ils sont documentés depuis des années par l'ICS-CERT, l'ANSSI, le NIST et des organismes sectoriels. Ce qui a changé, c'est leur exploitation à l'échelle industrielle par des acteurs de plus en plus nombreux.

L'exposition directe sur internet reste le vecteur le plus simple et le plus répandu. Des équipements OT exposent des interfaces web propriétaires, des services MODBUS, DNP3 ou BACnet sans authentification, ou des services d'administration SSH/Telnet avec des identifiants par défaut publics. Les attaquants maintiennent des bases de données continuellement mises à jour de ces équipements exposés, permettant des attaques ciblées en quelques minutes. Les incidents de réfrigération de 2026 ont probablement emprunté ce vecteur dans la majorité des cas.

La compromission IT-vers-OT est le vecteur de sophistication moyenne. Un attaquant compromet d'abord le réseau IT de l'entreprise — via un phishing, une vulnérabilité sur le périmètre internet, une attaque supply chain sur un prestataire — puis pivote vers le réseau OT depuis la tête de pont IT. Ce vecteur est particulièrement efficace dans les environnements où les réseaux IT et OT ne sont pas correctement segmentés. L'attaque contre Colonial Pipeline en 2021 avait emprunté ce vecteur.

La compromission via les prestataires de maintenance est le vecteur le plus difficile à défendre. Les fabricants et intégrateurs OT ont souvent des accès permanents ou récurrents aux systèmes de leurs clients. Ces accès sont rarement soumis aux mêmes contrôles de sécurité que les accès des employés directs : pas de MFA, VPN partagés entre clients, comptes de service génériques. Compromettre un prestataire de maintenance OT peut donner accès à des dizaines ou centaines de clients simultanément. C'est précisément ce qui s'est produit dans l'incident EFS du 3 novembre 2026 : l'attaque a visé le prestataire, pas directement l'EFS.

Les vulnérabilités dans les équipements OT eux-mêmes constituent le quatrième vecteur. Les équipements industriels ont des cycles de vie longs — 15 à 25 ans — et les mises à jour firmware sont rares, complexes à déployer, et souvent incompatibles avec les exigences de continuité opérationnelle. Les vulnérabilités s'accumulent sans être corrigées. En 2026, des milliers d'équipements OT exposés sur internet tournent sur des firmwares vieux de 5 à 10 ans, contenant des vulnérabilités publiquement documentées.

Qui attaque les OT en 2026, et pourquoi ?

La menace OT n'est plus le domaine exclusif des APT étatiques. En 2026, trois catégories d'acteurs distinctes ciblent les systèmes industriels, avec des motivations et des capacités différentes.

Les groupes criminels à motivation financière ont découvert que les environnements OT offrent des leviers de rançon puissants. Un ransomware dans un réseau IT peut être contenu si les sauvegardes sont saines. Une attaque qui arrête la production ou compromet un système critique crée une pression immédiate — quelques heures d'arrêt d'une usine peuvent coûter plus cher que la rançon demandée. Des groupes criminels ont développé des tactiques spécifiques pour cibler et exploiter les environnements OT. Les attaques sur les systèmes de réfrigération en Europe entrent probablement dans cette catégorie pour partie : créer des pertes économiques suffisamment importantes pour justifier le paiement d'une rançon, ou extorquer des assurances sous menace de récidive.

Les acteurs étatiques continuent d'opérer dans les environnements OT pour des objectifs de pré-positionnement stratégique et de perturbation. Des implants dormants dans des réseaux OT d'infrastructures critiques occidentales ont été découverts régulièrement ces dernières années par des agences comme CISA, l'ANSSI et leurs homologues européens. La Russie, la Chine, l'Iran et la Corée du Nord maintiennent tous des capacités OT documentées. Le pré-positionnement — s'implanter silencieusement dans des infrastructures critiques pour pouvoir les activer en cas de conflit — est une priorité stratégique pour ces acteurs.

Les hacktivistes et les acteurs à bas seuil de sophistication constituent une menace croissante depuis la banalisation des outils d'exploitation. Des groupes hacktivistes pro-russes (comme Killnet) et d'autres groupes d'activisme numérique ont démontré leur capacité à cibler des IHM industriels exposés sur internet avec des outils génériques. Ces acteurs ne disposent pas des capacités sophistiquées des APT, mais l'exposition directe sur internet d'équipements OT avec des identifiants par défaut leur suffit pour provoquer des perturbations. La barrière d'entrée pour attaquer un système OT mal configuré est aujourd'hui plus basse que jamais.

Les secteurs français les plus exposés

En France, l'exposition OT varie significativement selon les secteurs. Certains secteurs ont investi dans la sécurité OT sous la pression réglementaire (OIV, NIS2, DORA) ; d'autres restent largement exposés.

La grande distribution alimentaire et la logistique frigorifique présentent une exposition élevée, comme l'ont démontré les incidents d'octobre-novembre 2026. Des milliers de sites disposent de contrôleurs de température avec accès distant, souvent configurés par des prestataires de maintenance sans expertise cybersécurité. La réglementation OIV s'applique aux grandes chaînes, mais pas aux petites structures indépendantes.

Les établissements de santé combinent une exposition OT significative (systèmes de réfrigération médicale, automates de laboratoire, équipements d'imagerie, systèmes de gestion des fluides) avec une résilience cybersécurité souvent insuffisante en dehors des CHU. Les cliniques et établissements de taille intermédiaire restent vulnérables malgré les progrès réalisés après les vagues de ransomwares des années précédentes.

L'industrie manufacturière PME/ETI est probablement le secteur le plus exposé globalement. Des milliers d'entreprises industrielles de taille intermédiaire disposent d'automates et de systèmes de contrôle de processus qui n'ont pas bénéficié des investissements de sécurité réalisés dans les grands groupes. Les réseaux OT sont souvent plats (sans segmentation), les équipements n'ont pas été mis à jour depuis des années, et les prestataires de maintenance ont des accès permanents non surveillés.

Le traitement de l'eau et les déchets présentent une combinaison préoccupante : équipements anciens, réseaux OT historiquement ouverts, ressources IT limitées dans les collectivités. L'incident de la station de traitement d'eau d'Oldsmar en Floride en 2021, où un attaquant avait tenté d'augmenter massivement le taux de soude caustique, illustre le type de risque possible. Des scénarios équivalents restent possibles en France dans des stations non durcies.

Sécuriser un OT en pratique : ce qui fonctionne vraiment

La sécurité OT n'est pas mystérieuse. Les bonnes pratiques sont documentées par l'IEC 62443, le NIST Cybersecurity Framework for Industrial Control Systems, et les recommandations de l'ANSSI (notamment le guide de sécurité des systèmes industriels). Le problème n'est pas l'absence de référentiels — c'est leur mise en œuvre, perçue comme complexe et coûteuse.

La segmentation réseau est la priorité absolue. Un réseau OT bien segmenté limite drastiquement la capacité d'un attaquant à se déplacer latéralement. Le modèle Purdue, même vieillissant, reste pertinent comme base : séparation claire entre niveau terrain (capteurs, actionneurs), niveau contrôle (automates, PLC), niveau supervision (SCADA, HMI) et niveau entreprise (IT). Des pare-feux industriels et des DMZ OT/IT permettent de filtrer les flux nécessaires sans exposer l'ensemble du réseau OT au réseau IT. Cette segmentation doit être documentée, maintenue et auditée régulièrement — les configurations réseau OT évoluent souvent sans traçabilité.

L'inventaire exhaustif est un prérequis. On ne peut pas sécuriser ce qu'on ne connaît pas. Dans de nombreux environnements industriels, l'inventaire réseau OT est incomplet ou obsolète. Des outils de découverte passive spécialisés (Claroty, Dragos, Nozomi Networks) permettent de cartographier les environnements OT sans interférer avec les systèmes en production. Cet inventaire doit être maintenu à jour et croisé avec les bases de vulnérabilités pour prioriser les actions de remédiation.

La gestion des accès distants est critique. Tout accès à distance à un environnement OT doit passer par un bastion sécurisé avec authentification multi-facteur, enregistrement de session, et contrôle granulaire des droits. Les accès des prestataires de maintenance doivent être provisionnés à la demande, limités dans le temps, et automatiquement révoqués. Les connexions VPN permanentes vers des prestataires, avec des credentials partagés entre plusieurs clients du même prestataire, doivent être éliminées. Cette seule mesure aurait probablement empêché l'incident EFS du 3 novembre.

La surveillance et la détection sont indispensables. Les environnements OT ont des comportements réseau très prévisibles et répétitifs, ce qui rend la détection d'anomalies particulièrement efficace. Des systèmes de détection d'intrusion OT (Dragos, Claroty, Nozomi) analysent le trafic industriel en mode passif pour détecter les comportements anormaux : nouvelles connexions, nouvelles commandes, modification de paramètres hors des plages habituelles. Coupler cette surveillance à un SOC capable d'analyser des alertes OT est l'objectif final, même si cela nécessite des compétences spécifiques rares sur le marché.

La gestion des patches OT nécessite une approche différente de l'IT. On ne peut pas patcher un automate industriel comme on patche un serveur Windows. Les cycles de maintenance planifiés (arrêts annuels, shutdowns programmés) sont les fenêtres naturelles pour les mises à jour firmware. En dehors de ces fenêtres, des compensations (virtual patching via IDS/IPS industriel, isolation réseau renforcée) permettent de réduire le risque sans interrompre la production. Cette approche exige une collaboration étroite entre les équipes IT/cybersécurité et les équipes de production OT — collaboration qui fait souvent défaut dans les organisations où IT et OT sont culturellement et hiérarchiquement séparés.

Mon avis d'expert

Les attaques sur les systèmes de réfrigération européens d'octobre-novembre 2026 sont un signal d'alarme que nous n'avons pas le droit d'ignorer. La bonne nouvelle — si on peut appeler ça une bonne nouvelle — c'est que les techniques de défense OT existent et fonctionnent. La segmentation réseau, la gestion des accès distants, la surveillance passive : ce sont des mesures accessibles à des organisations de taille intermédiaire avec des budgets raisonnables. Ce qui manque, c'est l'urgence. Les RSSI qui savent pertinemment que leurs réseaux OT sont insuffisamment sécurisés mais ne parviennent pas à obtenir les budgets nécessaires auprès de leur direction doivent maintenant montrer ces incidents concrets. Des denrées perdues, du sang compromis, des amendes réglementaires : ça parle aux conseils d'administration. L'ère de la menace OT théorique est terminée. Utilisez ces incidents pour débloquer les ressources dont vous avez besoin. Maintenant.

Conclusion : agir maintenant, pas quand c'est votre tour

Les incidents d'octobre et novembre 2026 en Europe vont faire des émules. Des groupes criminels ont découvert que les systèmes OT sont des cibles accessibles, mal défendues, et que les conséquences physiques créent une pression de paiement plus forte que les ransomwares IT classiques. Des acteurs étatiques continuent de pré-positionner des implants dans des infrastructures critiques. Des outils d'exploitation OT accessibles se propagent dans des communautés d'attaquants de faible sophistication.

La question n'est pas de savoir si votre environnement OT sera ciblé. C'est de savoir dans combien de temps, et si vous serez prêts quand ça arrivera. Un audit OT aujourd'hui, c'est une semaine de travail et un budget modéré. Une réponse à incident sur un environnement OT compromis, c'est des semaines de perturbation, des centaines de milliers d'euros de pertes directes et indirectes, et potentiellement des conséquences sur la sécurité physique de vos équipes ou de vos clients.

Le choix est simple. L'urgence, elle, ne l'est pas.

Besoin d'un regard expert sur votre sécurité OT/ICS ?

Ayi NEDJIMI réalise des audits de cybersécurité OT pour cartographier votre exposition et construire une feuille de route de remédiation adaptée à vos contraintes opérationnelles.

Prendre contact