Usines ciblées : l’IA pour stopper rançongiciels et espionnage

26% des incidents traités par des équipes de réponse à incident dans le monde touchent l’industrie manufacturière. Et en 2025, les compromissions confirmées dans le secteur ont bondi de 89% sur un an, avec un fait qui pique : plus de 90% des organisations touchées comptent moins de 1 000 employés. Autrement dit, ce n’est pas « un problème de grands groupes ». C’est un problème de production, de qualité, de délais… et de survie commerciale.

La réalité dans une usine, c’est que l’arrêt n’est pas une option. Une heure de ligne à l’arrêt, ce n’est pas juste une perte de chiffre d’affaires. C’est une chaîne logistique qui se grippe, des pénalités, des clients qui doutent, et parfois des semaines pour rattraper le retard. Ajoutez à ça une propriété intellectuelle (plans, recettes, paramètres machine) qui vaut souvent plus que le matériel lui-même, et vous obtenez un cocktail parfait pour les rançongiciels… et l’espionnage.

Dans cette série « Intelligence artificielle dans la cybersécurité », je défends une idée simple : dans l’industrie, l’IA n’est pas un “plus”, c’est la seule façon réaliste de détecter vite, à grande échelle, et sur des environnements hybrides IT/OT. Pas pour remplacer les équipes, mais pour leur donner une capacité de réaction compatible avec le rythme de la production.

Pourquoi l’industrie est devenue la cible n°1

L’industrie est ciblée en priorité parce que l’attaquant y trouve trois avantages immédiats : pression temporelle, surface d’attaque large, valeur des données.

D’abord, la pression. Un hôpital a une tolérance faible à l’arrêt, une usine aussi — mais l’usine est souvent liée à des engagements de livraison, des flux tendus et des stocks minimisés. Les attaquants le savent : plus la minute coûte cher, plus la négociation est rapide.

Ensuite, la surface d’attaque. La convergence IT/OT a fait exploser les points d’entrée : accès distants, maintenance fournisseurs, applications exposées, comptes valides réutilisés, équipements anciens difficiles à patcher, robots, automates, postes d’ingénierie… Chaque connexion « pratique » est un endroit où un paramétrage imparfait peut devenir un boulevard.

Enfin, la donnée. En 2025, la part des violations liées à des motivations d’espionnage a fortement progressé (jusqu’à 20%, contre 3% l’année précédente). Les données les plus volées ? Plans, rapports, e-mails. L’industrie ne fait donc pas face uniquement à l’extorsion : elle fait face à une course à l’information, parfois menée par des acteurs très organisés.

Le schéma d’attaque qui revient (et qui fait mal)

Les premières étapes sont rarement spectaculaires. Elles sont… banales :

• exploitation d’une application exposée (portail, VPN, webapp) ;
• utilisation de comptes valides (volés, réutilisés, achetés) ;
• abus de services distants (maintenance, RDP, outils d’administration).

Puis vient la phase que beaucoup d’entreprises sous-estiment : l’attaquant reste discret, cartographie, observe les flux, repère les sauvegardes, et prépare le moment où l’impact sera maximal. Quand le chiffrement ou la perturbation démarre, c’est déjà trop tard pour « enquêter tranquillement ».

L’IA en cybersécurité industrielle : ce qu’elle fait vraiment (et ce qu’elle ne fait pas)

L’IA utile en cybersécurité industrielle sert à une chose : réduire le temps entre le premier signal faible et l’action de confinement. Dans un environnement où l’on a des journaux dispersés, des outils hétérogènes et des contraintes OT, la détection « à la main » ne tient pas.

Concrètement, l’IA aide sur quatre tâches où l’humain seul s’épuise :

1. Détection d’anomalies à l’échelle : comportements inhabituels sur postes, serveurs, identités, e-mails, accès distants.
2. Corrélation multi-sources : relier un e-mail suspect, un jeton cloud anormal, une connexion VPN étrange et une activité serveur inhabituelle.
3. Priorisation : remonter 10 alertes actionnables au lieu de 10 000 événements bruités.
4. Automatisation guidée : isoler un poste, révoquer une session, bloquer un flux — avec garde-fous.

Ce que l’IA ne fait pas toute seule : comprendre vos contraintes de production, arbitrer un arrêt de segment réseau OT, gérer la communication de crise, ou décider d’une restauration. L’IA accélère et éclaire. L’entreprise décide.

Exemple parlant : l’accès initial “légitime”

Une part importante des intrusions industrielles démarre avec des identifiants valides. C’est précisément là où l’IA est forte : elle peut repérer que « tout a l’air normal »… sauf la combinaison.

• Connexion d’un compte d’administration à 03h12 un dimanche.
• Depuis un lieu ou un ASN inhabituel.
• Puis accès à un serveur de fichiers rarement touché.
• Puis création d’un nouvel utilisateur et tentative de désactivation de l’EDR.

Individuellement, chaque événement peut passer. Ensemble, c’est un scénario d’intrusion. La corrélation est la valeur.

Rançongiciel en usine : le vrai coût, c’est le redémarrage

Le rançongiciel ne vise pas seulement vos fichiers. Il vise votre capacité à produire.

Même quand la restauration est possible, le « retour à la normale » est long parce qu’il faut :

• vérifier l’intégrité des images et sauvegardes ;
• redémarrer proprement les services critiques (MES, ERP, historien, supervision) ;
• s’assurer qu’on ne réintroduit pas l’attaquant ;
• requalifier certains processus (qualité, traçabilité, conformité).

Dans l’industrie, le KPI qui compte est clair : MTTR (temps de rétablissement), et pas seulement « nombre de machines chiffrées ».

MDR + IA : une combinaison pragmatique pour les PME/ETI

Beaucoup d’industriels n’ont ni le budget ni le temps de construire un SOC interne 24/7 avec chasse aux menaces et compétences forensiques. Or, statistiquement, ce sont eux qui prennent le plus.

Un modèle réaliste consiste à s’appuyer sur un MDR (Managed Detection & Response) qui opère en continu, et à exiger des capacités IA concrètes :

• détection comportementale (pas uniquement des signatures) ;
• triage intelligent des alertes ;
• playbooks de confinement adaptés à vos environnements ;
• accompagnement sur la réduction de surface d’attaque.

Mon avis : le MDR est souvent le raccourci le plus sain pour atteindre un niveau de surveillance « industriellement viable » en quelques semaines plutôt qu’en quelques années.

Chaîne d’approvisionnement : l’attaque qui arrive par la porte “fournisseur”

L’industrie vit en écosystème : maintenance, intégrateurs, éditeurs, sous-traitants, transporteurs. Cette réalité crée un paradoxe : vous pouvez durcir votre sécurité, et rester vulnérable… via un partenaire.

L’IA aide ici à deux niveaux.

1) Contrôler l’identité et l’accès, pas seulement le réseau

Une approche Zero Trust appliquée avec sérieux en industrie, c’est :

• MFA partout où c’est possible (y compris pour prestataires) ;
• accès « juste à temps » (JIT) et « juste assez » (moindre privilège) ;
• sessions tracées et révoquées automatiquement en cas de suspicion.

L’IA renforce cette approche en détectant les comportements d’accès incohérents : un prestataire qui se connecte sur un périmètre inhabituel, ou qui tente des actions non conformes à sa mission.

2) Surveiller les flux de données sensibles (IP, plans, recettes)

Quand l’espionnage est en hausse, protéger la propriété intellectuelle ne peut pas se limiter à « mettre un mot de passe ». Il faut une surveillance :

• exfiltration anormale (volumes, horaires, destinations) ;
• accès à des répertoires sensibles par des profils non habituels ;
• enchaînements suspects (recherche, compression, transfert).

Un bon dispositif IA ne « lit » pas vos secrets : il repère des patterns d’accès et de mouvement qui trahissent une exfiltration.

Plan d’action 30 jours : renforcer sans casser la prod

Vous n’avez pas besoin d’un programme sur 18 mois pour réduire le risque. En 30 jours, on peut déjà fermer beaucoup de portes.

Semaine 1 : hygiène qui bloque l’accès initial

• MFA sur VPN, messagerie, comptes admin, accès cloud.
• Inventaire des accès distants et suppression des comptes dormants.
• Mise à jour prioritaire des systèmes exposés (portails, passerelles, services web).

Semaine 2 : segmentation et sauvegardes “restaurables”

• Segmentation réseau IT/OT, avec règles simples et documentées.
• Sauvegardes hors ligne/immuables sur les actifs critiques.
• Test de restauration sur un périmètre réel (pas un exercice théorique).

Semaine 3 : détection continue + scénarios de confinement

• Déployer ou renforcer EDR/XDR sur postes et serveurs.
• Centraliser les logs essentiels (identité, VPN, serveurs, e-mail, cloud).
• Définir 5 scénarios de confinement « sans débat » (isoler un poste, couper un compte, bloquer une session, etc.).

Semaine 4 : MDR et pilotage orienté “temps”

• Choisir un MDR avec engagement clair sur la surveillance 24/7.
• Mesurer : temps de détection, temps de qualification, temps de confinement.
• Mettre en place un rituel mensuel : incidents évités, causes racines, améliorations.

Phrase à garder en tête : en industrie, la cybersécurité se juge en minutes gagnées, pas en documents produits.

Ce que je regarderais en priorité dans une solution IA/MDR

Pour générer des leads, beaucoup de vendeurs promettent. Pour protéger une usine, il faut vérifier.

Checklist courte (et volontairement concrète) :

• Visibilité IT + cloud + e-mail + serveurs, et capacité de corrélation.
• Capacités IA explicables : pourquoi l’alerte est critique, quels signaux ont compté.
• Détection des comptes valides abusés (là où le rançongiciel démarre souvent).
• Playbooks de réponse adaptés à vos contraintes (ne pas “tout couper” par défaut).
• Accompagnement incident : containment, investigation, recommandations actionnables.

Si le prestataire ne sait pas parler de MTTR, de restauration, de segmentation OT « réaliste », ou de gestion des accès prestataires, je passerais mon tour.

Un mot de fin pour la série « IA & cybersécurité »

L’IA en cybersécurité n’est pas un gadget : c’est une réponse à un problème de volume et de vitesse. Dans l’industrie manufacturière, où les attaquants combinent ingénierie sociale, comptes volés, vulnérabilités et persistance longue, la fenêtre pour réagir se compte en secondes.

Si vous dirigez l’IT, la sécurité, ou l’exploitation, votre prochaine étape est simple : cartographier vos points d’entrée (accès distants, identités, fournisseurs), puis mettre la détection continue au centre, avec un MDR si vous n’avez pas de SOC 24/7.

La question qui mérite d’être posée avant la prochaine alerte n’est pas « serons-nous attaqués ? ». C’est : combien de minutes mettrons-nous à le voir… et à contenir ?