Dans l'industrie, et plus encore chez les opérateurs d'importance vitale, le détournement de session sert rarement une fraude immédiate. Il sert à rester discret le plus longtemps possible. Le butin — plans, nomenclatures, gammes de fabrication, résultats d'essais, données de sous-traitance — n'a de valeur que si le vol n'est pas détecté, car un procédé copié ne se rappelle pas comme un virement frauduleux.
Le profil d'attaque : lent, patient, indistinct
Un attaquant qui exfiltre des données industrielles n'a aucun intérêt à agir vite. Il utilise une session valide, avec les droits d'un salarié réel, sur des applications où la consultation de documents est l'activité normale.
Cela produit un profil d'attaque très différent de celui de la fraude financière :
- Aucun geste anormal isolé. Ouvrir des plans, télécharger des nomenclatures, parcourir des dossiers d'affaires : c'est le métier.
- Une volumétrie étalée. L'exfiltration se répartit sur des jours ou des semaines pour rester sous les seuils.
- Une cible sélective. L'attaquant cherche un programme précis, pas l'ensemble du fonds documentaire, ce qui réduit encore le bruit produit.
C'est pourquoi la détection ne peut pas reposer sur des règles binaires. Elle doit reposer sur l'écart au comportement habituel du compte concerné.
Les portes d'entrée typiques
| Porte d'entrée | Ce qu'elle expose | Facteur aggravant |
|---|---|---|
| Poste d'un bureau d'études | Gestion du cycle de vie produit, plans, calculs | Fichiers volumineux, échanges externes fréquents |
| Compte d'un sous-traitant | Portail d'échange de documents techniques | Sécurité hétérogène de la chaîne de fournisseurs |
| Session d'un poste de qualité ou méthodes | Gammes, procédés, non-conformités | Accès transverses peu revus |
| Accès distant d'un intégrateur | Systèmes de pilotage de production | Sessions longues, comptes partagés |
| Messagerie d'un responsable programme | Contexte commercial et contractuel | Jeton de longue durée sur applications tierces |
Une remarque utile : dans l'industrie, le jeton d'application tierce est souvent négligé. Les outils de collaboration, de gestion de projet et de partage de fichiers accumulent des autorisations de longue durée, rarement revues, qui survivent aux changements de mot de passe et même aux départs.
Le cadre réglementaire et ses conséquences pratiques
La directive NIS2 ((UE) 2022/2555) couvre notamment la fabrication de produits critiques et engage la responsabilité des organes de direction. Elle attend des mesures de gestion des risques — authentification multifacteur ou continue, sécurité de la chaîne d'approvisionnement, gestion et notification des incidents.
Le Cyber Resilience Act ((UE) 2024/2847), en vigueur depuis fin 2024 avec des obligations principales à horizon fin 2027, concerne les produits comportant des éléments numériques : il impose la sécurité dès la conception et proscrit les mots de passe par défaut. Pour un industriel qui intègre du logiciel dans ses machines, l'exigence est double — protéger son système d'information et concevoir des produits conformes.
Enfin, l'ISO/IEC 27001 fournit le cadre de gestion attendu par de nombreux donneurs d'ordre, notamment dans les filières où la sécurité est contractualisée en amont.
Détecter ce qui ne déclenche aucune alerte
Puisque l'attaquant reproduit le comportement d'un utilisateur légitime, les signaux utiles sont comparatifs.
L'écart de volumétrie documentaire : un compte qui télécharge en une semaine l'équivalent de six mois d'activité.
L'élargissement du périmètre : un ingénieur affecté à un programme consulte soudain les dossiers d'un autre.
La rupture de contexte de session : même jeton, empreinte de client ou adresse différente, sans nouvelle authentification.
L'activité pendant une absence connue : congés, mission, arrêt — l'information existe dans les systèmes de gestion mais est rarement croisée avec les journaux d'accès.
La création de partages externes sur des documents techniques, ou l'autorisation d'une nouvelle application tierce.
Parades applicables
- Classifier réellement les fonds documentaires et réserver les plus sensibles à un accès exigeant une réauthentification, indépendamment de la session en cours.
- Revoir les autorisations d'applications tierces et limiter la durée des jetons délivrés, en particulier pour les outils de partage.
- Cloisonner les accès des sous-traitants par programme, avec des comptes nominatifs et une date de fin. La chaîne d'approvisionnement est explicitement visée par NIS2.
- Instrumenter la détection comportementale sur la consultation documentaire, avec des seuils propres à chaque population.
- Réduire la durée de vie des sessions sur les applications de conception et de gestion de production, et tester la révocation, y compris pour les accès fédérés.
- Exiger une preuve d'intention pour les gestes irréversibles ou massifs : export d'un référentiel complet, partage externe, modification d'une gamme de fabrication. Une session volée ne permet alors plus d'agir seule — c'est l'apport de l'authentification cognitive, qui rattache la validation à l'acte.
FAQ
Comment savoir si une exfiltration a eu lieu ?
En comparant l'activité d'un compte à sa propre référence historique, plutôt qu'à un seuil général. Les journaux applicatifs de consultation documentaire sont ici plus utiles que les journaux d'authentification, qui ne montreront rien d'anormal.
Faut-il bloquer les téléchargements de documents techniques ?
Rarement praticable : c'est l'usage normal. Il est plus efficace de tracer finement, de restreindre le partage externe et d'exiger une validation explicite pour les exports massifs.
Les sous-traitants doivent-ils appliquer notre politique d'authentification ?
Sur les accès qu'ils utilisent chez vous, oui, et cela se contractualise. NIS2 fait de la sécurité de la chaîne d'approvisionnement une obligation, ce qui donne un fondement à ces exigences dans les appels d'offres.
Le Cyber Resilience Act concerne-t-il notre système d'information interne ?
Il porte sur les produits comportant des éléments numériques que vous mettez sur le marché. Ses principes — sécurité dès la conception, absence de mot de passe par défaut — influencent néanmoins directement les pratiques internes des équipes de conception.
Aller plus loin : authentification cognitive : le principe · vol de session : mécanismes et détection · NIS2 pour l'industrie et les OIV · le Cyber Resilience Act côté industrie