Le sabotage d’infrastructures critiques n’est plus un scénario d’exercice : une centrale électrique britannique est restée hors service quatre jours après une intrusion attribuée à des acteurs liés à l’Iran, en parallèle d’attaques visant des réseaux d’eau aux États-Unis. Pour une PME ou une ETI, la tentation est de classer l’affaire dans la rubrique « géopolitique ». C’est une erreur d’analyse : le sabotage d’infrastructures critiques se propage par la chaîne de sous-traitance, et cette chaîne, c’est vous.
Pourquoi le sabotage d’infrastructures critiques concerne les PME-ETI
Les opérateurs d’importance vitale sont surveillés, audités, segmentés. Leurs prestataires le sont beaucoup moins. Un attaquant étatique qui vise une centrale, une station de pompage ou un poste de livraison n’attaque presque jamais la cible en frontal : il entre par le mainteneur qui possède un accès distant, par l’intégrateur qui gère les automates, par le bureau d’études qui détient les plans.
- Accès distant permanent : les contrats de maintenance OT imposent souvent un VPN ou un boîtier 4G toujours actif chez le client final.
- Comptes de service partagés : un même identifiant technique réutilisé sur dix sites industriels transforme une compromission en accès multi-clients.
- Documentation sensible : schémas d’automatismes, plans d’adressage, procédures d’arrêt d’urgence — ces fichiers valent plus qu’un exploit.
L’objectif d’un acteur étatique n’est pas l’extorsion, c’est la disponibilité. Il cherche à arrêter un processus physique et à retarder la reprise. Quatre jours d’arrêt, c’est le signal d’une attaque conçue pour durer, pas d’un chiffrement opportuniste.
Ce que change une attaque de disponibilité par rapport à un ransomware
La plupart des plans de continuité des PME-ETI sont calibrés pour le ransomware : restaurer des données depuis une sauvegarde. Une attaque de sabotage vise autre chose.
La sauvegarde ne restaure pas un procédé industriel
Restaurer un serveur de fichiers prend quelques heures. Remettre en marche une ligne de production, un groupe froid ou un poste de traitement demande une séquence de redémarrage physique, des contrôles de sécurité et parfois la présence du constructeur. Le délai de reprise réel n’a rien à voir avec le RTO affiché dans le plan informatique.
La confiance dans la supervision est la vraie cible
Une attaque OT réussie manipule ou brouille la supervision. Les équipes ne savent plus si une mesure est juste. À ce stade, le réflexe est d’arrêter l’installation par précaution — l’attaquant a gagné sans avoir eu besoin de casser quoi que ce soit.
La chaîne d’alerte n’est pas la même
Un incident touchant un opérateur d’importance vitale déclenche une notification réglementaire dans laquelle votre entreprise apparaîtra si l’accès est passé par vous. Le risque n’est plus seulement technique, il est contractuel et réputationnel.
Cinq décisions concrètes contre le sabotage d’infrastructures critiques
- Inventorier vos accès chez vos clients. Listez chaque VPN, chaque boîtier, chaque compte technique que vous détenez sur un site tiers. Cet inventaire n’existe presque jamais et il est le point de départ de tout.
- Supprimer l’accès permanent. Passez en accès à la demande, ouvert par le client, tracé, limité dans le temps. Un tunnel ouvert 24/7 est un actif de l’attaquant, pas du mainteneur.
- Bannir les comptes partagés entre clients. Un identifiant par site, une empreinte par intervention. Sans cela, la détection est impossible et la responsabilité indémontrable.
- Segmenter le poste d’intervention. L’ordinateur portable qui se connecte aux automates ne doit pas être celui qui lit les e-mails. C’est la mesure la moins chère et la plus efficace.
- Répéter la reprise avec le client. Un exercice conjoint d’une demi-journée révèle plus de défauts qu’un audit documentaire de trois semaines.
Détecter tôt : les signaux qui précèdent le sabotage
Les intrusions de type sabotage sont longues. Les acteurs restent en observation des semaines avant d’agir, pour comprendre le procédé industriel. Cette latence est votre fenêtre.
- Connexions VPN de maintenance en dehors des créneaux d’intervention déclarés.
- Requêtes de découverte réseau depuis un poste bureautique vers des plages OT.
- Consultation ou export massif de documentation technique sur le partage de fichiers.
- Création de comptes locaux sur les serveurs de supervision ou les passerelles.
- Modification d’une configuration d’automate sans ticket associé.
Ces signaux sont peu nombreux et faciles à instrumenter. Ils ne demandent pas une plateforme XDR complète : une collecte de journaux correcte et deux ou trois règles de corrélation couvrent l’essentiel. C’est précisément l’approche que nous détaillons dans notre article sur les automates industriels exposés, et le raisonnement rejoint celui appliqué aux clés d’accès cloud exposées : le secret qui n’expire jamais est le premier à trahir.
La posture à adopter en 2026
Une PME-ETI ne défendra jamais un réseau électrique national. En revanche, elle contrôle totalement la porte qu’elle possède chez son client. La bonne question de gouvernance n’est pas « suis-je une cible ? » mais « combien de portes ai-je ouvertes chez des cibles ? ».
Le sabotage d’infrastructures critiques se traite donc comme un risque de chaîne d’approvisionnement, pas comme un risque de périmètre. Réduisez le nombre d’accès, rendez-les temporaires, tracez-les, et exercez la reprise avec ceux qui dépendent de vous. C’est un travail d’inventaire et de discipline, pas un investissement lourd — et c’est ce qui distingue un fournisseur que l’on garde d’un fournisseur que l’on écarte après incident.