Dans l'énergie, le détournement de session ne se juge pas à la confidentialité des données volées mais à la capacité d'agir sur un procédé physique. Une session ouverte sur une console de supervision, un poste de conduite ou un accès distant de mainteneur vaut, pour un attaquant, bien davantage qu'un fichier exfiltré. Et les propriétés de l'environnement industriel rendent les réponses habituelles — expiration courte, révocation immédiate — difficiles à appliquer telles quelles.
Pourquoi les sessions y vivent plus longtemps qu'ailleurs
Trois contraintes structurelles expliquent la persistance des sessions dans les environnements de conduite.
La continuité d'exploitation. Un écran de supervision doit rester lisible en permanence. Une expiration automatique en plein incident réseau est perçue, à juste titre, comme un risque opérationnel supérieur au risque cyber.
Le poste de quart. Le poste est partagé entre équipes qui se relaient. Le verrouillage entre deux prises de service est théorique dès lors que la relève se fait sans interruption de l'affichage.
Les accès de maintenance. Les mainteneurs et équipementiers interviennent à distance, souvent via des chaînes d'accès établies de longue date, avec des sessions dont la durée est calée sur la durée d'intervention plutôt que sur une politique de sécurité.
Résultat : la fenêtre d'exploitation d'un jeton volé se compte en heures, parfois davantage, là où d'autres secteurs l'ont réduite à quelques dizaines de minutes.
Ce qu'un attaquant vise concrètement
| Actif | Effet recherché | Contrainte pour l'attaquant |
|---|---|---|
| Console de supervision (IHM) | Reconnaissance du procédé, préparation d'une action | Nécessite de comprendre l'installation |
| Accès distant de mainteneur | Point d'entrée durable vers la zone industrielle | Faible : l'accès est prévu pour cela |
| Poste d'ingénierie | Modification de configuration d'automates | Élevée, mais impact maximal |
| Système de gestion des interventions | Falsification d'ordres de travail, ingénierie sociale | Faible |
| Bureautique du personnel de conduite | Rebond vers les zones industrielles | Dépend du cloisonnement |
La plupart des scénarios réalistes commencent côté bureautique : un dérobeur d'informations sur un poste, un jeton capturé, puis un cheminement vers les zones industrielles en empruntant des accès légitimes. Le vol de session est ici un outil de latéralisation, pas la finalité.
Le cadre : NIS2 et la question de la démonstration
Le secteur de l'énergie relève des secteurs hautement critiques au titre de la directive NIS2 ((UE) 2022/2555), qui cite explicitement l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues, et engage la responsabilité des organes de direction.
Deux exigences pèsent particulièrement sur ce sujet : la sécurité de la chaîne d'approvisionnement, qui couvre les équipementiers et prestataires de maintenance, et la gestion des incidents, qui suppose de pouvoir reconstituer une chronologie d'accès. Sans imputabilité nominative des sessions, cette reconstitution est impossible.
La qualification SecNumCloud de l'ANSSI reste un repère pertinent pour les briques hébergées, en particulier lorsque des fonctions de supervision migrent vers des services externalisés.
Parades compatibles avec l'exploitation
L'erreur classique consiste à transposer les règles bureautiques. Une politique d'expiration à quinze minutes sur une console de conduite sera contournée par un dispositif maintenant l'écran actif. Les mesures ci-dessous tiennent compte de cette réalité.
- Séparer affichage et action. La visualisation permanente n'appelle pas de session privilégiée. Seules les commandes doivent exiger une authentification, ce qui permet de laisser l'écran ouvert sans laisser le pouvoir d'agir ouvert.
- Exiger une preuve fraîche pour toute commande à effet physique. Manœuvre, changement de consigne, bascule de configuration : la validation doit être produite au moment de l'acte, par la personne qui l'exécute. Une session détournée cesse alors d'être suffisante.
- Rendre les accès de maintenance nominatifs, temporaires et ouverts à la demande. Aucune session permanente, aucune identité de compte générique équipementier, une traçabilité exploitable en investigation.
- Cloisonner strictement bureautique et zones industrielles, et surveiller les franchissements plutôt que de les interdire sur le papier.
- Préparer la révocation. Savoir couper une session de maintenance sans interrompre la conduite suppose une procédure écrite, testée hors incident, connue de l'équipe d'astreinte.
- Instrumenter la détection sur l'usage : commande émise hors fenêtre d'intervention planifiée, session utilisée depuis une origine différente de celle de son ouverture, activité sur un compte de quart pendant une absence constatée.
Le point 2 est le plus structurant. Il déplace la sécurité de la porte d'entrée vers le geste, ce que permet l'authentification cognitive : une preuve d'intention humaine consciente, sans secret réutilisable, exigible au moment précis de la manœuvre.
FAQ
Une session volée permet-elle vraiment d'agir sur un procédé ?
Cela dépend du cloisonnement et des droits associés au profil détourné. Dans beaucoup d'installations, une session de supervision permet au minimum une reconnaissance détaillée, qui est le préalable indispensable à toute action ciblée.
Comment appliquer une politique de session à des postes de quart ?
En dissociant la session d'affichage, qui peut rester ouverte, et l'authentification de commande, qui doit être individuelle et fraîche. C'est la seule approche qui respecte à la fois la continuité et l'imputabilité.
Les accès de maintenance sont-ils le principal risque ?
Ils constituent le chemin le plus direct, car ils sont conçus pour franchir le cloisonnement. NIS2 les vise explicitement au titre de la sécurité de la chaîne d'approvisionnement : ils méritent le niveau de contrôle le plus élevé.
Que faire si un jeton a pu être volé sur un poste bureautique ?
Révoquer les sessions du compte, vérifier les accès aux passerelles vers les zones industrielles, rechercher toute ouverture d'accès distant dans la fenêtre concernée, puis traiter le poste. La recherche de latéralisation prime sur le nettoyage.
Aller plus loin : le 4ᵉ facteur cognitif · vol de session : mécanismes et détection · NIS2 dans l'énergie · gérer les accès à privilèges