Comment les fabricants peuvent empêcher qu’une seule violation arrête l’usine

En juillet, une attaque par rançongiciel a contraint l’activité laitière Fairlife de Coca-Cola à arrêter la production américaine. Coca-Cola a indiqué que la sécurité et la qualité des produits n’étaient pas affectées. La production s’est arrêtée de toute façon.

Le groupe de rançongiciel Anubis a ensuite revendiqué la responsabilité. Elle a déclaré avoir volé 1 téraoctet de données et menacé de les publier à moins qu’une rançon ne soit payée. Onze jours après que Coca-Cola ait révélé l’attaque, Fairlife avait repris la majeure partie de la production dans ses quatre usines américaines.

Des attaques comme celle-ci se multiplient dans l’industrie manufacturière. Black Kite a suivi 1 183 incidents de rançongiciel de fabrication divulgués dans le monde entier du 1er janvier au 29juillet 2026. Cela représente près de 40 % de plus que lors de la même période en 2025, et plus que durant toute l’année 2024.

Les fabricants sont des cibles car le temps d’arrêt est un levier. Chaque heure où une ligne reste inactive met en danger les commandes, les revenus et les engagements clients.

« Arrêter les opérations met la pression sur une entreprise dont le chiffre d’affaires dépend de la fabrication et de la livraison de produits », a déclaré Trevor Dearing, directeur des solutions d’infrastructures critiques chez Illumio.

Les fabricants peuvent réduire cette pression en prévoyant une violation avant qu’elle ne se produise. L’objectif est d’éviter qu’un système compromis ne devienne un arrêt à l’échelle de l’usine.

À mesure que la production progresse, la sécurité prend du retard

Les temps morts sont une source de levier. Les données volées en sont une autre. Les conceptions, les formules et les connaissances en production sont des cibles précieuses.

« Le vol de propriété intellectuelle crée une autre opportunité d’extorsion ou de vol », a déclaré Dearing.

Parallèlement, les fabricants connectent davantage leurs opérations. La maintenance à distance et le partage de données améliorent l’efficacité. Ils ouvrent également de nouveaux chemins vers l’usine.

« La fabrication se transforme plus vite que sa sécurité », a-t-il déclaré.

L’écart entre les équipes est également visible. Les équipes de sécurité informatique comprennent les cybermenaces mais peuvent manquer de connaissances détaillées sur la production. Les équipes de l’usine connaissent l’équipement mais sont peut-être moins familières avec les risques que créent les nouvelles connexions.

« Aucune des deux équipes ne peut résoudre ça seule, » dit-il. « Ensemble, ils doivent comprendre sur quels systèmes dépend la production et comment une violation pourrait se propager entre eux. »

Un poste de travail, risque à l’échelle de l’usine

Les postes de travail d’ingénierie montrent comment faire. Le personnel les utilise pour configurer et entretenir les équipements. Ces mêmes connexions peuvent donner aux attaquants une route vers le reste de l’usine.

« Quelqu’un pourrait être assis à un poste d’ingénierie en train d’ouvrir son e-mail personnel », dit Dearing. « Une attaque de phishing pourrait introduire un rançongiciel sur ce poste de travail. »

À partir de là, les attaquants pourraient se déplacer latéralement vers des systèmes connectés ou désactiver les services dont la centrale a besoin. Protéger l’équipement seul laisse un vide. Les fabricants doivent également comprendre et protéger les connexions et services qui la sous-tendent.

Commencez par une carte de la production

Dearing recommande d’abord de déterminer comment la production fonctionne, puis de cartographier les systèmes et connexions qui la supportent. Une liste d’appareils indique aux équipes ce qu’elles ont. Une carte montre ce qui dépend de quoi.

L’étape suivante est un audit de protocole, une revue de la communication des systèmes. Cela devrait indiquer :

• Accès à distance par bureau là où il n’a pas sa place
• Protocoles non sécurisés
• Un accès dépassant ce dont un système a besoin pour faire son travail

« Il faut voir comment tout est connecté », dit-il. « Alors tu dois comprendre ce qui est vulnérable, ce que cela peut atteindre, et où réside le risque. »

Les équipes informatique et d’usine doivent examiner ces résultats ensemble. Les opérateurs savent quelles connexions la production nécessite. Les équipes de sécurité peuvent voir où cet accès crée des risques.

Les directives conjointes du gouvernement américain sur l’adaptation du Zero Trust à la technologie opérationnelle (OT) confirment cela. Il exige une visibilité, un accès contrôlé et une segmentation qui tiennent compte de la sécurité et de la fiabilité.

Donnez un but à chaque connexion

Une fois que les équipes comprennent les besoins en production, elles peuvent limiter l’accès à la correspondance. La fabrication a un avantage ici. De nombreux systèmes effectuent une tâche étroite et utilisent un petit ensemble de protocoles, ce qui facilite l’écriture de règles d’accès précises.

« Donnez à la station de travail les connexions nécessaires pour faire son travail », dit Dearing. « Chaque connexion doit avoir un but clair. »

Il recommande une segmentation entre l’informatique et l’ergothérapie, ainsi qu’au sein même de l’usine. Ces frontières coupent les voies qu’un attaquant peut utiliser pour se propager.

Le même principe s’applique aux fournisseurs. Un fournisseur qui entretient un seul équipement ne devrait pas avoir accès à des systèmes non liés. Sa connexion à distance doit passer par des contrôles d’identité détenus par le fabricant.

Pour les équipements qui ne peuvent pas être facilement patchés, restreignez ce qui peut y accéder. Le défaut demeure, mais moins de systèmes peuvent l’atteindre.

Tout cela dépend d’abord de la compréhension du processus. Avant d’appliquer de nouvelles règles, les équipes doivent s’assurer qu’elles ne bloqueront pas les besoins de production de trafic.

Construis le gros bouton rouge avant d’en avoir besoin

Les règles d’accès limitent la portée d’une violation. Dearing recommande également un plan pour isoler la production lorsqu’on s’en approche. Il l’appelle un « gros bouton rouge » : une méthode préparée pour couper la production d’une violation dans le secteur au sens large. Le plan doit préciser ce qu’il faut déconnecter, qui l’autorise et quels services doivent rester en ligne.

« L’objectif est d’isoler la production afin qu’elle puisse continuer, même si d’autres systèmes tombent en panne », a-t-il déclaré. « Tu dois construire ce plan avant que quelque chose ne tourne mal. »

Un plan que personne n’a mis en place n’est qu’une supposition.

« Tu dois le tester », dit-il. « Tu dois savoir que le plan fonctionne. »

Certains processus dépendent de services de connexion partagée, de support à distance ou de données externes. L’isolement pourrait couper ces limites, donc les équipes doivent comprendre les conséquences avant une attaque. Un test devrait confirmer quels processus peuvent continuer, lesquels doivent s’arrêter en toute sécurité, et lesquels restaurer en premier.

L’alerte d’août du Centre national de cybersécurité du Royaume-Uni souligne le même point. Elle encourage les opérateurs à planifier une isolation rapide et à pratiquer la restauration des systèmes à partir de sauvegardes de confiance.

Le conseil de Dearing se résume à trois choses : connaître les besoins de production, contrôler l’accès à celles-ci, et prouver que le confinement fonctionne. Fairlife a eu besoin de 11 jours pour relancer la majeure partie de sa production. Le moment pour apprendre ce qui fait fonctionner une usine est avant qu’elle ne s’arrête.

Empêcher un rançongiciel d’arrêter la production

N’attendez pas qu’une cyberattaque mette fin aux opérations. Illumio aide les fabricants à identifier les connexions critiques IT et OT, à contenir les rançongiciels et à empêcher les menaces de se propager dans les environnements de production.

Protégez vos opérations avec isoler les incidents d’Illumio

Découvrez Illumio Segmentation