Une alerte américaine vient de tomber. Cinq agences fédérales signent le même document : NSA, CISA, FBI, Département de l'Énergie et Agence de protection de l'environnement. Le sujet ? Des attaques qui exploitent l'IA générative pour cibler les automates industriels Siemens S7.
Ça vous semble lointain ? Ça ne l'est pas. Ces mêmes automates tournent dans les usines de la vallée de la chimie, sur les sites Seveso du couloir rhodanien, dans les stations d'épuration de la métropole et dans l'industrie de Saint-Étienne ou de Clermont. L'alerte est américaine. Le risque, lui, est chez vous.
Ce que disent vraiment les agences américaines
L'avis officiel s'appelle AA26-231A. Publié le 19 août 2026, cosigné par les cinq agences. Il vise une menace active, pas un scénario théorique. Traduction : des attaquants sont déjà en train de scanner et de préparer le terrain.
Les automates concernés couvrent toute la gamme Siemens S7 : S7-200, S7-300, S7-400, S7-1200 et S7-1500, y compris les contrôleurs de sécurité F-series. Autrement dit, quasiment tout le parc installé depuis vingt ans.
Un point important, qui évite les fausses paniques : il n'y a pas de nouvelle faille zero-day. Siemens l'a confirmé en coordonnant avec la CISA. Le problème n'est pas un trou dans le firmware. Ce sont des mauvaises configurations déjà connues, exploitées avec de nouvelles méthodes. La différence, c'est l'IA.
Autre précision utile : aucune attribution formelle. Les agences ne pointent aucun État ni groupe précis. Inutile donc de spéculer sur qui est derrière. Concentrez-vous sur la protection.
Comment l'IA change la donne pour les attaquants
Le mode opératoire est presque banal, et c'est ça qui inquiète.
Les attaquants n'utilisent pas de malware sur mesure. Ils s'appuient sur des bibliothèques open source légitimes d'automatisation industrielle : snap7.dll et python-snap7. Ces outils servent normalement aux intégrateurs pour dialoguer avec les automates. Ils communiquent directement avec les Siemens via le protocole S7comm sur le port TCP 102.
Une fois connectés, ces outils donnent accès à la mémoire de l'automate, à sa configuration et à sa logique à relais (ladder logic). C'est le cœur du process industriel. Celui qui contrôle ça peut modifier le comportement d'une chaîne de production.
Le rôle de l'IA est précis. Les agences le disent clairement : l'IA générative réduit l'expertise et le temps nécessaires pour écrire un script d'exploitation fonctionnel visant un système de contrôle industriel. Avant, il fallait un spécialiste OT chevronné. Maintenant, un attaquant moyen assisté par IA génère des outils qui imitent des solutions de supervision légitimes.
L'IA sert aussi à s'adapter. Elle permet de mobiliser rapidement de nouveaux vecteurs d'attaque et de contourner les défenses au fur et à mesure. On passe d'une menace lente et rare à une menace industrialisée.
Comment ils trouvent leurs cibles
Rien de sorcier. Les attaquants utilisent des moteurs de scan Internet comme Censys et ZoomEye. Ces services cartographient les appareils exposés en ligne. En quelques requêtes, on repère les automates Siemens accessibles depuis Internet, mal segmentés, ou tournant sur un firmware obsolète.
Ensuite, ils testent les identifiants par défaut ou faiblement configurés. Beaucoup d'automates n'ont jamais eu leur mot de passe changé depuis l'installation. C'est la porte d'entrée la plus simple.
Pourquoi l'industrie AURA est directement concernée
Les secteurs les plus visés aux États-Unis sont parlants pour la région : fabrication critique, énergie, eau et eaux usées, chimie, alimentation et agriculture, installations commerciales. Regardez la carte du tissu industriel régional. Tout y est.
La vallée de la chimie au sud de Lyon concentre des sites Seveso avec des process pilotés par automates. Les stations d'épuration et de traitement d'eau de la métropole reposent sur des systèmes de contrôle industriels. L'industrie mécanique du bassin stéphanois, l'agroalimentaire, l'énergie hydraulique alpine : autant de terrains où les Siemens S7 sont omniprésents.
À noter aussi pour la région : les S7 équipent la base industrielle de défense. L'AURA compte des sous-traitants de la défense. Ils sont dans le périmètre de la menace.
Ce n'est pas de la théorie. En juillet, des pirates ont visé plus de 30 services d'eau du Minnesota. Résultat : dysfonctionnements d'équipements et bascule forcée en mode manuel sur certaines installations. Ça arrive vraiment, sur des cibles qui ressemblent aux vôtres.
Ce que ça peut coûter concrètement
Selon l'avis, une exploitation réussie peut provoquer une perturbation des process industriels critiques, des incidents de sécurité, des arrêts de production ou des dommages matériels aux équipements. Sur un site Seveso, un incident de sécurité n'est pas qu'une ligne dans un rapport. C'est un risque humain et environnemental.
Bonne nouvelle relative : l'activité observée est surtout préparatoire. Les agences parlent de reconnaissance persistante. Les attaquants cartographient, testent, préparent. Ils n'ont pas encore massivement frappé. Vous avez une fenêtre pour agir. Elle ne restera pas ouverte.
Les premières mesures à prendre maintenant
Les agences donnent une liste claire. Voici ce qui compte le plus, dans l'ordre.
- Inventoriez vos automates. Vous ne protégez pas ce que vous ne connaissez pas. Listez tous vos S7, leur modèle, leur firmware, leur emplacement réseau. Beaucoup d'usines découvrent des automates oubliés lors de cet exercice.
- Coupez l'accès Internet. Un automate ne devrait jamais être directement joignable depuis Internet. Vérifiez sur Censys ou ZoomEye si vos propres appareils apparaissent. Si oui, c'est une urgence.
- Segmentez le réseau OT. Isolez le réseau industriel du réseau bureautique. Le port TCP 102 ne devrait pas être accessible en dehors de la zone de contrôle strictement nécessaire.
- Changez les identifiants par défaut. C'est basique et pourtant c'est le vecteur d'entrée principal. Renforcez les mots de passe, supprimez les comptes inutiles.
- Mettez à jour les firmwares. Les appareils tournant sur des versions hors service sont les cibles prioritaires. Planifiez les mises à jour même si ça implique une fenêtre d'arrêt.
- Surveillez l'activité inhabituelle. Toute connexion S7comm inattendue, tout accès à la mémoire ou à la logique de l'automate doit déclencher une alerte.
Une remarque de fond. L'avis vise Siemens, mais les agences précisent que le ciblage des automates dépasse largement Siemens. En avril, des acteurs affiliés à l'Iran avaient visé des Rockwell Automation et Allen-Bradley, puis le périmètre s'était élargi à Siemens et Schneider Electric. Si vous exploitez des PLC d'une autre marque, appliquez les mêmes mesures. Le raisonnement est identique.
Ne traitez pas ça comme un sujet purement industriel
La menace OT rejoint un mouvement plus large : l'IA qui abaisse la barrière technique pour les attaquants. On l'a vu sur le phishing, sur les attaques autonomes, et maintenant sur les systèmes de contrôle industriels. Pour comprendre cette dynamique, notre article sur les cyberattaques autonomes par IA pose le décor.
Côté conformité, cette alerte tombe alors que la directive NIS 2 concerne justement les infrastructures critiques et industrielles. Si votre site est concerné, ces mesures ne sont pas optionnelles. Notre analyse sur le retard de transposition de NIS 2 détaille les obligations qui approchent.
Enfin, si un incident survient, la vitesse de réaction fait toute la différence. Les réflexes d'un plan de réaction structuré valent aussi pour un incident OT.
Le message est simple. Vos automates S7 sont peut-être visibles sur Internet en ce moment même. La reconnaissance a commencé. Faites l'inventaire cette semaine, coupez les accès exposés, changez les mots de passe par défaut. Ces trois actions bloquent l'immense majorité des scénarios décrits par les agences. Le reste peut suivre. Mais ces trois-là, faites-les maintenant.
Laisser un commentaire