Dans l'industrie, un phishing réussi débouche sur trois issues très différentes, et confondre leurs signatures conduit à mal calibrer la défense. La première est financière et se manifeste en quelques jours. La deuxième vise la propriété industrielle et peut rester invisible pendant des mois. La troisième cherche un accès aux systèmes de production et ne se manifeste qu'au moment choisi par l'attaquant.
Issue n° 1 : la chaîne achats-comptabilité
C'est la plus fréquente et la mieux documentée. L'attaquant compromet une boîte aux lettres — celle d'un fournisseur plus souvent que celle de l'industriel — puis intervient dans un fil de discussion existant autour d'une commande réelle. Le message annonce un changement de coordonnées bancaires, avec les références exactes du dossier.
La raison pour laquelle ce scénario fonctionne dans l'industrie tient à la structure des échanges : volumes de facturation élevés, nombreux fournisseurs, délais contraints par les cadences de production. La demande n'a rien d'anormal, et la personne qui la traite n'a aucun moyen de distinguer un fil légitime d'un fil détourné.
Issue n° 2 : la captation de propriété industrielle
L'objectif est ici la persistance discrète. Une session obtenue sur un compte de bureau d'études donne accès aux plans, gammes, nomenclatures, résultats d'essais et éléments de chiffrage. Rien ne s'arrête, rien ne se dégrade : la copie ne laisse aucune trace visible sur la ligne de production.
Le préjudice se matérialise ailleurs et plus tard — dans une réponse concurrente à un appel d'offres, dans une contrefaçon, ou dans la perte d'un avantage technique. C'est aussi l'issue la moins souvent détectée, faute de surveillance des volumes de consultation et d'export sur les référentiels techniques.
Issue n° 3 : le chemin vers la production
Le phishing sert alors de première marche. La session bureautique livre l'organigramme, les plannings d'intervention et la documentation technique, qui alimentent une seconde campagne ciblée sur les postes d'ingénierie d'automatisme et les comptes d'intégrateurs. Ces comptes sont le vrai objectif : ils portent des privilèges élevés, ils ont été créés lors de la mise en service, et ils sont rarement revus depuis.
| Issue visée | Leurre caractéristique | Délai de manifestation | Signal de détection le plus utile |
|---|---|---|---|
| Fraude au virement | Fil de commande détourné, changement d'IBAN | Jours | Modification de référentiel fournisseur |
| Vol de propriété industrielle | Candidature, appel d'offres, document technique | Mois | Volume d'export sur la GED technique |
| Accès à l'ingénierie | Avis constructeur, intervention planifiée | Variable | Connexion distante hors intervention |
| Préparation d'un chiffrement | Message d'infogérance ou de support | Semaines | Élévation de privilèges inhabituelle |
| Usurpation de la marque | Faux site fournisseur ou client | Continu | Surveillance des domaines voisins |
NIS2 et Cyber Resilience Act : deux obligations distinctes
La directive NIS2 (directive (UE) 2022/2555) couvre la fabrication de plusieurs catégories de produits et impose des mesures de gestion des risques citant l'authentification multifacteur ou continue, ainsi que la sécurité de la chaîne d'approvisionnement. Cette dernière exigence vise directement les accès accordés aux intégrateurs, aux mainteneurs et aux fournisseurs d'équipements — c'est-à-dire la troisième issue décrite plus haut.
Le Cyber Resilience Act (règlement (UE) 2024/2847) impose une obligation de nature différente, qui concerne l'industriel en tant que fabricant : les produits comportant des éléments numériques devront respecter des exigences de sécurité dès la conception, avec notamment l'interdiction des mots de passe par défaut. Le règlement est en vigueur depuis fin 2024, ses obligations principales s'appliquant à horizon fin 2027. Les deux textes se rejoignent sur un constat : un identifiant statique livré avec une machine est à la fois un défaut de conception et un vecteur d'intrusion.
Parades, par issue visée
Contre la fraude au virement. Aucune modification de coordonnées bancaires ne devrait résulter d'un échange par messagerie. La validation doit passer par un canal indépendant, vers un contact déjà enregistré, et être confirmée par un acte distinct portant sur le bénéficiaire réel. Cette mesure est peu coûteuse et coupe la chaîne la plus fréquente.
Contre la captation. Surveiller l'usage plutôt que l'accès : volumes de consultation et d'export sur les référentiels techniques, accès à des projets sans lien avec l'affectation, activité en dehors des horaires habituels du service.
Contre l'accès à la production. Concentrer le facteur le plus résistant sur les points de franchissement — poste d'ingénierie, passerelle, accès distant de maintenance — et ouvrir les accès d'intégrateurs à la demande, sur fenêtre bornée et compte nominatif.
Deux mesures transverses complètent l'ensemble. D'abord, éliminer les facteurs rejouables : un code transmis par SMS ou par courriel est relayé en temps réel par une page relais, et l'OTP par SMS ou par voix est classé « restricted » par le NIST dans sa publication SP 800-63B. Ensuite, choisir une méthode utilisable en zone de production : si le facteur suppose un smartphone personnel, souvent proscrit en atelier, il ne sera pas déployé et les dérogations se généraliseront. Une approche passwordless et IDless fondée sur un QR code dynamique à usage unique, avec biométrie traitée localement, répond à cette contrainte de terrain sans installer d'agent sur les postes partagés.
FAQ
Pourquoi la fraude au fournisseur réussit-elle malgré les procédures ?
Parce qu'elle n'exploite pas une faille de procédure mais un fil de discussion authentique. La demande arrive au bon moment, avec les bonnes références, depuis une adresse connue. Seul un contrôle hors du canal compromis permet de la détecter.
Le vol de propriété industrielle est-il détectable ?
Rarement au moment de l'accès, souvent par les volumes. Une surveillance des exports et des consultations sur les référentiels techniques, même sommaire, apporte davantage qu'un durcissement supplémentaire de l'authentification sur des périmètres déjà couverts.
Faut-il traiter les intégrateurs comme des salariés ?
Plus strictement, car leurs comptes portent souvent plus de privilèges et échappent aux campagnes de sensibilisation internes. NIS2 rend cette exigence opposable au titre de la chaîne d'approvisionnement, ce qui facilite son inscription dans les contrats.
Comment authentifier des opérateurs sans téléphone professionnel ?
En retenant une méthode qui ne présuppose pas d'équipement individuel et qui fonctionne sur un poste partagé, sans secret réutilisable d'un opérateur à l'autre. C'est un critère de sélection à part entière, pas un point de détail du déploiement.
Aller plus loin : le principe du facteur cognitif · l'AiTM dans l'industrie · NIS2 pour l'industrie et les OIV · le 4e facteur contre le phishing