Dans l'industrie, le push bombing rencontre une organisation qui lui est favorable : des postes partagés en atelier, des équipes qui tournent en trois-huit, et un usage du smartphone personnel souvent proscrit en zone de production. Résultat, la notification d'approbation atterrit rarement chez la bonne personne au bon moment — et quand elle y arrive, elle est validée sans lecture.
Ce qui a de la valeur derrière un compte industriel
Les actifs visés ne sont pas ceux d'une entreprise de services.
- Les plans, gammes et nomenclatures, c'est-à-dire la propriété industrielle elle-même, dont la copie ne laisse aucune trace visible sur la ligne.
- Les systèmes de pilotage de production, ordonnancement et suivi de fabrication, dont l'arrêt coûte immédiatement en tonnage ou en cadence.
- Les postes d'ingénierie d'automatisme, qui contiennent les programmes des automates et les moyens de les téléverser.
- Les comptes d'intégrateurs et de constructeurs de machines, très privilégiés, parfois créés lors de la mise en service et jamais revus depuis.
Pour un opérateur d'importance vitale, s'ajoute une dimension supplémentaire : l'atteinte à la disponibilité de l'outil de production peut avoir des effets qui débordent largement le périmètre contractuel de l'entreprise.
Pourquoi l'atelier neutralise les bonnes pratiques habituelles
Les recommandations classiques supposent un utilisateur, un poste, un téléphone. La production ne fonctionne pas ainsi.
Un poste de supervision en atelier est partagé entre plusieurs opérateurs et plusieurs équipes. Une session ouverte en début de journée le reste souvent jusqu'au soir, parce que la refermer signifierait s'authentifier à chaque intervention, gants aux mains, devant un écran tactile en environnement bruyant. Le téléphone personnel est fréquemment interdit en zone, pour des raisons de sécurité des personnes ou de confidentialité : le second facteur mobile devient alors structurellement inapplicable. Enfin, les interventions d'intégrateurs créent un flux régulier de connexions externes, ce qui rend une demande d'approbation inattendue difficile à distinguer d'une intervention légitime.
L'attaquant n'a donc pas besoin d'un scénario sophistiqué. Il lui suffit de viser un compte d'ingénierie ou de maintenance pendant une fenêtre d'intervention connue.
| Situation de terrain | Conséquence observée | Ouverture pour l'attaquant | Orientation de parade |
|---|---|---|---|
| Poste partagé en atelier | Session maintenue ouverte toute l'équipe | Aucun besoin de réauthentifier | Facteur rapide, sans secret partagé |
| Smartphone interdit en zone | Second facteur inapplicable | Dérogation généralisée | Méthode ne dépendant pas d'un mobile personnel |
| Trois-huit | Sollicitations à toute heure | Rafale plausible en permanence | Blocage sur refus répétés, alerte |
| Intervention intégrateur | Connexions externes banalisées | Se fond dans le flux normal | Compte nominatif, fenêtre bornée |
| Machine livrée clé en main | Comptes constructeur par défaut | Accès direct sans attaque | Revue à la réception, exigence contractuelle |
NIS2 et Cyber Resilience Act : deux obligations distinctes
La directive NIS2 (directive (UE) 2022/2555) couvre la fabrication de plusieurs catégories de produits et impose des mesures de gestion des risques citant l'authentification multifacteur ou continue, ainsi que la sécurité de la chaîne d'approvisionnement. Pour un industriel, cette dernière exigence vise directement les accès accordés aux intégrateurs et aux mainteneurs.
Le Cyber Resilience Act (règlement (UE) 2024/2847) ajoute une obligation de nature différente, qui concerne l'industriel en tant que fabricant : les produits comportant des éléments numériques devront respecter des exigences de sécurité dès la conception, avec notamment l'interdiction des mots de passe par défaut. Le règlement est en vigueur depuis fin 2024 et ses obligations principales s'appliquent à horizon fin 2027. Les deux textes se rejoignent sur un point utile : un identifiant statique livré avec un équipement est à la fois un défaut de conception et un vecteur d'intrusion.
Parades qui survivent au contexte de production
- Choisir une méthode utilisable en zone. Si le facteur suppose un smartphone personnel, il ne sera pas déployé sur la ligne. C'est le premier critère de sélection, avant toute considération cryptographique.
- Découpler le poste et l'identité. Sur un terminal partagé, l'objectif est une authentification individuelle rapide, sans secret réutilisable d'un opérateur à l'autre. Un QR code dynamique à usage unique ouvrant un canal éphémère chiffré répond à cette contrainte sans installer d'agent sur le poste d'atelier.
- Réserver la validation forte aux actions qui comptent : téléversement d'un programme d'automate, modification d'une recette, ouverture d'un accès distant. Authentifier chaque consultation d'écran ne fera qu'entretenir l'automatisme.
- Encadrer contractuellement les intégrateurs : comptes nominatifs, ouverture à la demande sur fenêtre bornée, méthode d'authentification imposée, restitution documentée à la fin de la mission.
- Supprimer le push simple sur les comptes d'ingénierie et d'administration, au profit d'un facteur qui exige un raisonnement actif. C'est l'objet du 4e facteur cognitif : prouver une intention humaine consciente, là où un bouton « Approuver » ne prouve qu'un réflexe.
FAQ
Comment authentifier sur un poste partagé sans ralentir la production ?
En visant une authentification individuelle de quelques secondes, déclenchée seulement pour les actions sensibles, plutôt qu'un verrouillage systématique. La question à poser n'est pas « combien de temps prend l'authentification » mais « combien de fois par équipe la déclenche-t-on ».
Le cloisonnement des réseaux industriels suffit-il ?
Non. La séparation limite la propagation, elle ne protège pas le point de franchissement. Or c'est précisément ce point — poste d'ingénierie, passerelle, accès distant de maintenance — que vise une campagne de push bombing.
Les comptes de constructeurs de machines sont-ils vraiment un problème ?
Souvent le plus sous-estimé. Ils sont créés lors de la mise en service, transmis oralement, jamais revus, et parfois identiques d'un site à l'autre. Le Cyber Resilience Act attaque ce sujet à la source pour les produits futurs ; le parc existant reste à traiter site par site.
Faut-il une MFA sur les automates eux-mêmes ?
Ce n'est généralement ni possible ni pertinent sur des équipements anciens. La bonne stratégie consiste à sécuriser fortement les chemins d'accès à ces équipements, en assumant que l'automate, lui, ne se défendra pas.
Aller plus loin : le principe du facteur cognitif · MFA fatigue : mécanique et parades · NIS2 pour l'industrie et les OIV · Cyber Resilience Act et industrie