Dans l'énergie, le phishing ne cherche pas des données : il cherche un chemin. L'objectif est d'atteindre le poste d'ingénierie, la passerelle ou le compte de télémaintenance qui mène aux systèmes de conduite. La conséquence est que les leurres y sont beaucoup plus techniques qu'ailleurs, et beaucoup mieux documentés — parce que le secteur produit énormément d'information publique exploitable.
La phase de reconnaissance, particulièrement fertile
Un point distingue ce secteur : la matière première du leurre est largement accessible. Appels d'offres publics, notices de projets, publications professionnelles, communications réglementaires, salons spécialisés : un attaquant peut reconstituer sans effort les fournisseurs d'un exploitant, les équipements déployés, les chantiers en cours et les noms des personnes qui les pilotent.
Le message qui en résulte n'a rien du courriel générique. Il évoque un lot précis d'un marché en cours, cite une référence d'équipement plausible, ou reprend le format d'un avis de sécurité constructeur. Les indices enseignés en sensibilisation — expéditeur douteux, ton alarmiste, fautes — en sont absents.
Trois familles de leurres reviennent régulièrement :
- L'avis de sécurité constructeur, qui invite à consulter un correctif pour un équipement effectivement présent sur le site.
- L'échange contractuel, autour d'un appel d'offres, d'une commande ou d'une réception de travaux, visant les fonctions achats et projets.
- L'alerte d'exploitation, adressée à une personne d'astreinte, qui exploite la disponibilité permanente et la pression de l'incident.
Ce que vaut la session obtenue
Le phishing moderne s'appuie sur un proxy inverse : la page relais transmet les saisies au service authentique et capte le cookie émis à l'issue de l'authentification. Le butin est donc une session, et sa valeur dépend entièrement de ce à quoi elle donne accès.
Dans un environnement énergétique, la progression suit un schéma reconnaissable. La session bureautique donne d'abord accès à la documentation : schémas, procédures de conduite, plannings d'astreinte, inventaire d'équipements. Ces éléments servent à préparer une seconde phase, ciblée sur les comptes d'accès distant. C'est à ce stade que la séparation entre informatique de gestion et informatique industrielle est réellement mise à l'épreuve — non pas par une propagation technique, mais par le franchissement d'un point d'accès légitime.
| Étage atteint | Ce que l'attaquant obtient | Ce qui devrait l'arrêter | Faiblesse fréquente |
|---|---|---|---|
| Messagerie et bureautique | Documentation, organigramme, astreintes | Facteur lié à l'origine | Repli par code encore actif |
| Espace projet et achats | Marchés, contacts fournisseurs | Cloisonnement des espaces | Partage large par commodité |
| Portail de télémaintenance | Accès aux interventions planifiées | Comptes nominatifs, ouverture à la demande | Comptes fournisseurs permanents |
| Bastion d'accès distant | Chemin vers la conduite | Authentification non rejouable | Repli documenté pour l'astreinte |
| Poste d'ingénierie | Programmes, configurations | Validation par opération | Session longue durée |
Ce qu'exige NIS2 pour un opérateur du secteur
L'énergie figure parmi les secteurs de forte criticité visés par la directive NIS2 (directive (UE) 2022/2555). Deux exigences pèsent directement sur ce scénario. Les mesures de gestion des risques citent explicitement l'authentification multifacteur ou continue, ce qui suppose de pouvoir justifier la méthode retenue au regard des attaques connues — et le relais en temps réel en est une. La sécurité de la chaîne d'approvisionnement vise ensuite les accès accordés aux fournisseurs d'équipements et aux mainteneurs, qui constituent ici le vecteur le plus direct.
S'y ajoutent les obligations de notification des incidents significatifs, lesquelles supposent une capacité de détection : sans journalisation des sessions et des accès distants, l'exploitant ne peut ni qualifier ni délimiter l'incident.
Pour les fonctions hébergées, notamment de supervision externalisée, la qualification SecNumCloud de l'ANSSI sert de repère aux donneurs d'ordre du secteur.
Parades hiérarchisées
- Placer le facteur le plus résistant sur le point de franchissement. Puisque les systèmes de conduite anciens ne peuvent pas porter d'authentification moderne, la protection doit être concentrée sur le bastion et les passerelles, sans exception ni parcours de secours rejouable.
- Ouvrir les accès de télémaintenance à la demande, sur fenêtre bornée et compte nominatif, avec une validation côté exploitant. Un accès fournisseur permanent est une porte que personne ne surveille.
- Éliminer les codes à usage unique transmis par SMS ou par courriel sur ces parcours : ils sont relayés en temps réel par une page relais, et le NIST classe l'OTP par SMS ou par voix comme méthode « restricted » dans sa publication SP 800-63B.
- Corréler l'accès avec l'activité planifiée. Une connexion distante sans intervention programmée ni ticket ouvert est un signal simple, peu bruyant et très discriminant en exploitation.
- Exiger une validation d'intention sur les gestes irréversibles, plutôt que de faire confiance à une session ouverte. Le facteur cognitif répond à ce besoin : une preuve d'intention humaine consciente au moment de l'action, sans secret réutilisable, dans un canal éphémère chiffré. L'enrôlement hors ligne est un atout pour les sites peu connectés, où une méthode dépendant d'un réseau mobile finirait par être contournée.
FAQ
Le cloisonnement des réseaux protège-t-il du phishing ?
Il limite la propagation mais pas le franchissement, or c'est exactement ce que vise le phishing : obtenir des identifiants légitimes pour emprunter un chemin autorisé. La séparation ne vaut que si le point de passage est authentifié par une méthode non rejouable.
Comment protéger les personnes d'astreinte ?
En reconnaissant que leur vigilance est structurellement dégradée pendant un incident. Cela implique un facteur qui ne repose pas sur leur jugement, un mécanisme de repli nominatif et borné plutôt qu'un compte de secours partagé, et une corrélation systématique entre accès et intervention déclarée.
Les fournisseurs d'équipements doivent-ils appliquer les mêmes règles ?
NIS2 rend cette exigence opposable au titre de la chaîne d'approvisionnement. Elle se traduit concrètement dans les contrats de maintenance : comptes nominatifs, méthode d'authentification imposée, traçabilité et restitution documentée des accès.
Faut-il craindre le phishing sur les données de comptage ?
Elles ont une valeur économique directe et sont souvent moins protégées que les systèmes de conduite, parce qu'elles sont perçues comme des données de gestion. Elles méritent le même traitement que tout actif dont la manipulation produit un gain financier.
Aller plus loin : le pilier authentification cognitive · MFA résistante au phishing · NIS2 dans le secteur de l'énergie · l'AiTM appliqué à l'énergie