Le 19 août 2026, cinq agences américaines ont publié le même avertissement. La NSA, la CISA, le FBI, le Department of Energy et l'EPA signent un avis commun, référencé CISA AA26-231A. Le message tient en une phrase : des attaquants ciblent les automates Siemens de la série S7 avec des scripts d'exploitation générés par IA. Ce n'est pas un scénario. C'est de la reconnaissance active, en cours, sur des installations industrielles.
Pour la région lyonnaise et l'Auvergne-Rhône-Alpes, ce n'est pas un sujet lointain. La Vallée de la chimie, les sites Seveso, la mécanique : le tissu industriel local coche exactement les cases visées. On décrypte la menace, on explique pourquoi vos usines sont exposées, et on donne une checklist concrète pour les responsables OT.
La menace : des outils légitimes détournés, dopés à l'IA
D'abord, ce que ce n'est pas. Ce n'est pas un nouveau malware inédit. Il n'y a pas non plus de nouvelle faille dans les produits Siemens. Le constructeur a confirmé coordonner avec la CISA et l'a dit clairement : cet avis ne révèle aucune vulnérabilité nouvelle. Ce qui change, c'est la technique.
Les attaquants détournent des bibliothèques open source d'automatisation industrielle. Concrètement, snap7.dll et python-snap7. Des outils parfaitement légitimes, utilisés tous les jours par des intégrateurs. Combinés à du scripting assisté par IA, ils servent à fabriquer des programmes qui imitent des solutions de supervision OT.
Le résultat : un accès en lecture et écriture à la mémoire des automates, à leurs données de configuration et à leurs programmes en logique à relais. Le tout via le protocole S7comm, celui qui fait tourner la communication avec les S7. L'avis couvre toutes les générations, du vieux S7-200 au S7-1500 F-series, y compris les contrôleurs de sécurité.
Le rôle réel de l'IA générative
L'IA ne crée pas la faille. Elle accélère l'attaque. Elle abaisse la barrière technique. Avant, il fallait un vrai expert des systèmes industriels pour écrire un outil d'exploitation ICS fonctionnel. Maintenant, l'IA générative produit ces scripts vite, avec beaucoup moins d'expertise en amont.
Ça change deux choses. Le nombre d'attaquants capables augmente. Et leur vitesse d'adaptation aussi : ils peuvent mobiliser de nouveaux vecteurs et contourner les défenses plus rapidement. Le mode opératoire est simple. Ils scannent Internet à la recherche d'automates exposés, mal configurés ou avec des logiciels obsolètes. Ils collectent les infos publiques sur les vulnérabilités. Puis ils lancent leurs scripts. Si votre automate est joignable depuis Internet, il est fortement exposé. Point.
Cette logique de menace automatisée n'est pas isolée. On l'a déjà abordée sous un autre angle dans notre article sur les cyberattaques autonomes par IA.
Ce que ça peut provoquer
L'avis ne mâche pas ses mots. Selon les circonstances, l'exploitation de ces outils peut entraîner une perturbation des processus industriels critiques, des incidents de sécurité, des arrêts de production ou des dommages matériels. Sur un site chimique ou Seveso, ces mots ont un poids particulier.
Deux nuances à garder en tête. D'abord, le ciblage dépasse Siemens. En juillet, les autorités avaient déjà alerté sur des automates vulnérables de Rockwell Automation et Schneider Electric, en plus des S7-1200. Ne réduisez pas le problème à un seul fournisseur. Ensuite, aucune attribution formelle pour cette campagne S7 : l'avis ne nomme aucun groupe. Il décrit une reconnaissance persistante. Cet avertissement s'inscrit toutefois dans un contexte tendu, après une vague d'attaques attribuées à des acteurs liés à l'Iran contre des systèmes d'eau dans au moins douze États américains.
Pourquoi le tissu industriel d'AURA est en première ligne
Les secteurs les plus ciblés par l'avis : fabrication critique, énergie, eau et eaux usées, chimie, agroalimentaire, installations commerciales. Regardez la carte industrielle de la région. Le recoupement est presque parfait.
L'Auvergne-Rhône-Alpes est la région française qui compte le plus d'établissements classés Seveso, avec 186 sites. Dont 22 à seuil haut rien que dans la métropole lyonnaise. Ce chiffre n'est pas un hasard. Il est lié à la Vallée de la chimie, qui concentre plus de quatre-vingts sites industriels au sud de Lyon : Arkema, Solvay, Kem One, Elkem. Le long du Rhône, on parle de quinze kilomètres de sites stratégiques, TotalEnergies et Arkema en tête.
Ajoutez la chimie, la pharmacie, le stockage de gaz, les raffineries, plus de 30 000 entreprises industrielles réparties dans la région. Beaucoup tournent avec des automates Siemens. Beaucoup ont des installations en service depuis des années, avec des logiciels qui n'ont pas été mis à jour au rythme des menaces. C'est exactement le profil que les scanners des attaquants recherchent.
Le vrai risque : l'exposition héritée
Le problème typique n'est pas un automate flambant neuf mal réglé. C'est l'accumulation. Un site industriel se construit par couches, sur des décennies. Des équipements OT installés avant que la cybersécurité industrielle ne devienne un sujet. Des accès distants ouverts pour la maintenance et jamais refermés. Des réseaux IT et OT censés être séparés mais reliés par un pont oublié.
Cette cohabitation entre systèmes récents et anciens est un thème que l'on retrouve partout dans l'industrie régionale. On l'a traité côté logiciels métiers dans notre guide sur la cohabitation avec un logiciel métier ancien. La logique est la même en OT : l'existant est votre principale surface d'attaque. Pour un panorama plus large des usages IA dans les usines de la région, voir aussi notre article sur l'IA dans l'industrie en Auvergne-Rhône-Alpes.
La checklist des premières parades pour les responsables OT
L'avis fournit des mesures d'atténuation. Voici les priorités, classées de la plus urgente à la plus structurante. Rien ici n'exige un budget colossal. La plupart relèvent de l'hygiène de base, trop souvent négligée en OT.
1. Coupez l'exposition Internet
- Vérifiez qu'aucun automate S7 n'est joignable directement depuis Internet. C'est la mesure numéro un. Un automate exposé est un automate exploitable.
- Recensez tous les accès distants. Fermez ceux qui ne servent plus. Placez les accès légitimes derrière un VPN et une authentification forte.
- Segmentez vos réseaux. L'OT ne doit pas être accessible depuis le réseau bureautique sans passage contrôlé.
2. Surveillez les signaux techniques précis
L'avis liste des indicateurs concrets. Mettez-les sous surveillance :
- Des connexions S7comm venant d'appareils qui ne servent normalement pas à l'ingénierie.
- De l'activité de lecture ou d'écriture sur les automates en dehors des fenêtres de maintenance planifiées.
- Des scans de plusieurs adresses IP sur le port TCP 102, celui de S7comm.
- La présence de processus Python chargeant snap7.dll sur des systèmes où cela n'a aucune raison d'exister.
- Des connexions provenant de pays ou de plages IP non associés à vos fournisseurs ou intégrateurs.
3. Corrélez avec vos procédures internes
- Un changement de configuration sans ticket de changement correspondant est un signal d'alerte. Rapprochez systématiquement l'activité technique de vos processus de gestion des changements.
- Vérifiez les anomalies temporelles. Une activité S7comm à 3 h du matin un dimanche mérite une explication.
4. Traitez la dette de configuration
- Reprenez l'avis Siemens de juillet. Les attaquants exploitent des erreurs de configuration déjà identifiées. Corrigez-les.
- Mettez à jour les logiciels et firmwares obsolètes, en respectant vos fenêtres de maintenance.
- Élargissez le contrôle aux automates Rockwell et Schneider si vous en avez. La menace n'est pas propre à Siemens.
5. Préparez la réaction, pas seulement la détection
Détecter une intrusion sans savoir quoi faire ensuite ne sert à rien. Ayez un plan : qui alerter, comment isoler un automate compromis, comment revenir à un état sûr. La gestion de crise cyber s'anticipe. Nos articles sur la sécurisation des workflows automatisés et sur la gestion de crise donnent des points de méthode transposables.
Ce qu'il faut retenir et faire cette semaine
La nouveauté de cet avis, ce n'est pas une faille. C'est la démocratisation de l'attaque. L'IA générative met des outils d'exploitation ICS entre les mains d'acteurs qui n'auraient pas su les écrire seuls. La barrière technique tombe. La vôtre doit monter.
Pour un responsable OT en AURA, l'action la plus urgente tient en une question : combien de vos automates sont joignables depuis Internet, aujourd'hui ? Lancez l'inventaire. Coupez ce qui n'a rien à faire en ligne. Activez la surveillance du port 102 et des connexions S7comm anormales. Reprenez l'avis Siemens de juillet et fermez les erreurs de configuration connues.
Ces gestes ne demandent ni gros budget ni transformation. Ils demandent de la rigueur et un peu de temps, cette semaine plutôt que le mois prochain. Sur un site Seveso ou une usine chimique de la Vallée du Rhône, l'écart entre les deux peut se compter en arrêt de production, ou pire.
Laisser un commentaire