Dans l'industrie, l'attaque AiTM (adversary-in-the-middle) se distingue par sa cible : moins l'argent que la matière technique. Une session volée sur un portail d'ingénierie, un espace de gestion documentaire ou un extranet fournisseurs donne accès à des plans, des nomenclatures, des gammes de fabrication et des contrats. Le préjudice ne se mesure pas au jour de l'incident mais des années plus tard, quand un concurrent commercialise l'équivalent.
La chaîne d'approvisionnement comme vecteur d'entrée
Un site industriel travaille avec des dizaines de partenaires : bureaux d'études, sous-traitants d'usinage, intégrateurs, transporteurs, prestataires de maintenance. Chacun dispose d'accès aux plateformes d'échange, et chacun applique sa propre politique d'authentification.
L'attaquant qui vise un donneur d'ordre commence donc rarement par lui. Il compromet un partenaire de taille modeste, récupère une boîte de messagerie légitime, puis diffuse depuis cette boîte un lien vers son proxy inverse. Le message arrive d'une adresse connue, dans un fil de discussion existant, avec le vocabulaire du projet en cours. Aucun indicateur classique — expéditeur inconnu, faute de langue, domaine bizarre — ne se déclenche.
Ce point est déterminant pour la posture de défense : dans l'industrie, la légitimité apparente de l'expéditeur ne prouve rien, parce que la boîte d'envoi est souvent réellement légitime.
Ce qu'une session volée expose
| Actif industriel | Support habituel | Ce que permet la session volée | Effet différé |
|---|---|---|---|
| Plans et modèles 3D | Plateforme PLM, espace de partage | Extraction massive de fichiers | Perte d'avance technologique |
| Nomenclatures et coûts | ERP, portail achats | Lecture des marges et des sources | Perte de position en négociation |
| Gammes et paramètres process | Documentation d'atelier | Reproduction du procédé | Contrefaçon qualifiée |
| Contrats et RIB fournisseurs | Portail achats, EDI | Modification de coordonnées bancaires | Fraude au virement |
| Comptes de télémaintenance | Passerelle d'accès distant | Entrée vers les réseaux d'atelier | Sabotage, rançongiciel |
| Données de conformité client | GED qualité | Usurpation de certificats de conformité | Risque juridique et réputationnel |
Deux lignes appellent des traitements opposés. Le vol de plans est silencieux : il ressemble à un usage normal et se détecte par le volume, pas par l'anomalie d'accès. La fraude au RIB fournisseur est ponctuelle : elle se détecte par le contrôle d'une modification unitaire.
Le statut d'OIV ne change pas la mécanique, mais change l'exigence
Pour les opérateurs les plus sensibles, la question n'est plus seulement d'éviter l'incident mais de pouvoir démontrer la maîtrise des accès. NIS2 (directive (UE) 2022/2555) demande des mesures de gestion des risques citant l'authentification multifacteur ou continue, et impose des obligations de notification. En pratique, cela signifie savoir répondre, sous contrainte de délai, à trois questions : quels comptes étaient actifs, quelles sessions ont été révoquées, quels facteurs ont été enrôlés pendant la fenêtre suspecte.
Le Cyber Resilience Act (règlement (UE) 2024/2847), en vigueur depuis fin 2024 avec des obligations principales à horizon fin 2027, ajoute une contrainte du côté des produits : sécurité dès la conception et interdiction des mots de passe par défaut. Pour un industriel qui fabrique des équipements connectés, la posture d'authentification devient un sujet produit autant qu'un sujet SI.
Parades, en tenant compte du parc réel
Le legacy est la contrainte structurante. Beaucoup d'applications d'atelier ne savent pas dialoguer avec un fournisseur d'identité moderne. Les placer derrière un portail d'accès unifié, plutôt que d'essayer de les modifier, permet d'appliquer un facteur résistant au phishing à l'entrée.
Les partenaires doivent être traités par contrat. Le niveau d'authentification exigé pour accéder aux plateformes d'échange se négocie au moment du référencement, pas après l'incident. Un partenaire qui ne peut pas s'y conformer accède à un périmètre réduit.
Le volume est un capteur. Fixer des seuils de téléchargement par compte et par période détecte l'extraction de propriété industrielle mieux que n'importe quelle règle de connexion.
Les gestes financiers doivent être verrouillés indépendamment du canal. Toute modification de coordonnées bancaires fournisseur passe par un contre-appel sur un numéro issu du référentiel interne, jamais du document reçu, et par un délai de carence avant le premier paiement.
Les actions à effet physique méritent une preuve d'intention. Ouverture d'un accès de maintenance, validation d'un ordre de fabrication, publication d'une révision de plan : ces gestes gagnent à être confirmés en dehors de la simple session. Le facteur cognitif répond à ce besoin avec un défi résolu au moment de l'action, dans un canal éphémère ouvert par QR code dynamique à usage unique, déployable en overlay d'une MFA déjà en place — ce qui évite de rouvrir l'intégralité du socle d'authentification.
FAQ
Pourquoi l'industrie est-elle particulièrement exposée à l'AiTM ?
Parce que ses échanges quotidiens passent par des plateformes partagées avec des tiers dont elle ne maîtrise pas la sécurité, et parce que les messages d'attaque proviennent souvent de boîtes réellement compromises chez ces tiers.
Un vol de plans se détecte-t-il vraiment ?
Rarement par les alertes d'authentification, souvent par les volumes. Un compte qui télécharge en une session ce qu'il consulte habituellement en plusieurs mois constitue le signal le plus fiable.
Faut-il imposer des clés physiques à tous les sous-traitants ?
C'est rarement tenable à l'échelle d'une chaîne d'approvisionnement. Une approche par paliers — facteur résistant au phishing pour les accès aux données sensibles, périmètre réduit pour les partenaires non conformes — donne de meilleurs résultats qu'une exigence uniforme jamais appliquée.
Que faire des applications d'atelier qui ne supportent aucune MFA ?
Les isoler derrière un point d'entrée qui, lui, supporte un facteur fort, et restreindre strictement les origines réseau autorisées. Modifier l'application est souvent plus coûteux et plus lent que de la placer derrière un portail.
Aller plus loin : le 4ᵉ facteur cognitif · comprendre l'AiTM · NIS2 pour l'industrie et les OIV · overlay MFA sur un IdP existant