Dans l'énergie, l'attaque AiTM (adversary-in-the-middle) ne sert presque jamais à atteindre directement un automate. Elle sert à obtenir une session bureautique légitime — messagerie, portail de téléservices, console d'accès distant — qui ouvre ensuite la route vers les zones industrielles par les chemins prévus pour les équipes et les prestataires. Le proxy inverse relaie l'authentification, capte le jeton, et l'attaquant se retrouve dans le périmètre avec les droits d'un utilisateur connu.
La vraie chaîne : de l'IT vers l'OT, par les accès autorisés
Les architectures énergie séparent les systèmes de gestion des systèmes de conduite. Cette séparation est réelle, mais elle est traversée quotidiennement par des flux légitimes : télémaintenance constructeur, supervision déportée, remontée de données de comptage, gestion des interventions.
Ces flux passent de plus en plus souvent par des portails d'accès distant hébergés en SaaS ou par une fédération d'identité vers un fournisseur d'identité central. C'est précisément là que l'AiTM est efficace : il n'attaque pas la passerelle industrielle, il attaque l'authentification qui y donne droit.
Le point aveugle classique tient à la population concernée. Les prestataires de maintenance et les exploitants d'astreinte accèdent depuis des postes et des réseaux variés, souvent hors du socle de sécurité interne, parfois avec des comptes partagés hérités d'anciens contrats.
Actifs exposés et conséquences
| Accès énergie | Ce qu'ouvre une session volée | Conséquence plausible | Priorité de traitement |
|---|---|---|---|
| Messagerie d'exploitation | Consignes, plannings d'intervention, contacts | Prétexte crédible pour un appel frauduleux | Haute |
| Portail de télémaintenance constructeur | Accès à distance aux équipements sous contrat | Modification de paramétrage | Critique |
| Fédération d'identité vers applications métier | Ensemble du catalogue applicatif | Latéralisation silencieuse | Critique |
| Portail fournisseurs / achats | Contrats, RIB, appels d'offres | Fraude au changement de coordonnées | Haute |
| Espace client fourniture d'énergie | Données de consommation, prélèvements | Fraude de masse, atteinte réputationnelle | Moyenne |
| Console de supervision déportée | Vue temps réel sur l'exploitation | Renseignement préalable à une attaque | Critique |
La colonne « conséquence » mérite attention : dans l'énergie, l'étape la plus fréquente après une compromission d'identité n'est pas l'action destructrice, c'est la collecte de renseignement. Un attaquant patient cartographie l'exploitation avant d'agir, ce qui laisse une fenêtre de détection plus longue que dans d'autres secteurs — à condition de surveiller les usages, pas seulement les connexions.
Ce que NIS2 impose de regarder
La directive NIS2 (directive (UE) 2022/2555) range l'énergie parmi les secteurs hautement critiques et demande des mesures de gestion des risques citant explicitement l'authentification multifacteur ou continue. Deux mots comptent ici.
« Multifacteur » ne dit pas lequel. Un dispositif conforme sur le papier peut rester traversable par un proxy inverse. Le choix du facteur relève donc de l'analyse de risque, pas de la case à cocher.
« Continue » est plus exigeant et plus utile : il s'agit de ne pas considérer qu'une authentification réussie vaut confiance pour toute la durée de la session. C'est exactement la faille exploitée après un AiTM. La même logique irrigue l'architecture Zero Trust du NIST SP 800-207 : ne jamais faire confiance, toujours vérifier.
NIS2 impose également des obligations de notification. Pour un incident AiTM, la capacité à établir quelles sessions étaient actives et quand elles ont été révoquées devient une exigence documentaire autant qu'un réflexe technique.
Parades adaptées aux contraintes du secteur
Sur la connexion. Basculer les accès distants vers un facteur lié à l'origine, en commençant par les comptes de télémaintenance et les comptes à privilèges. La contrainte réelle est logistique : distribution et remplacement de clés physiques sur des sites dispersés, parfois isolés.
Sur les comptes de prestataires. Supprimer les comptes partagés, nominativer, et fixer une fenêtre d'ouverture. Un accès de maintenance ouvert en permanence est une session permanente offerte à qui saura la voler.
Sur la session. Réévaluation contextuelle en cours d'usage, durée de vie courte sur les périmètres de conduite, révocation testée. Une procédure jamais jouée en exercice ne tient pas la nuit d'un incident.
Sur les gestes sensibles. Une manœuvre d'exploitation, une modification de consigne ou une ouverture d'accès temporaire méritent une preuve d'intention explicite. Le facteur cognitif apporte ici une réponse compatible avec le terrain : un défi résolu au moment de l'action, dans un canal éphémère ouvert par QR code dynamique à usage unique, sans secret réutilisable et sans dépendance à un annuaire d'identités exposé. L'enrôlement hors ligne dote l'utilisateur d'une méthode de résolution personnelle, ce qui convient aux environnements où la connectivité n'est pas garantie.
Sur l'organisation. Aucune consigne d'exploitation ne doit pouvoir être appliquée sur la seule base d'un appel ou d'un message, quel que soit le degré d'urgence invoqué. Cette règle doit être écrite dans les procédures d'astreinte, pas seulement rappelée en sensibilisation.
FAQ
Une attaque AiTM peut-elle atteindre un système de conduite ?
Pas directement. Elle fournit une identité valide et une session ouverte. Le passage vers les systèmes industriels emprunte ensuite les chemins d'accès légitimes, ce qui rend la segmentation et le contrôle des accès de maintenance décisifs.
Les clés physiques sont-elles réalistes sur des sites dispersés ?
Elles le sont pour les populations à privilèges, où le coût logistique est justifié. Pour les effectifs plus larges ou les prestataires ponctuels, une méthode ne nécessitant pas de matériel dédié réduit la friction sans revenir aux codes relayables.
Comment traiter les comptes de télémaintenance des constructeurs ?
Nominativation, ouverture à la demande sur une fenêtre définie, enregistrement de session, et authentification résistante au phishing. Un accès permanent est un risque permanent, indépendamment du sérieux du prestataire.
La sensibilisation a-t-elle encore un intérêt face à l'AiTM ?
Oui, mais déplacée. Reconnaître un faux site est devenu difficile. En revanche, savoir qu'aucune demande légitime n'exige de valider une opération pendant un appel, et savoir déclencher une révocation de session, reste efficace.
Aller plus loin : authentification cognitive · anatomie de l'attaque AiTM · NIS2 dans l'énergie · authentification continue