Cybersécurité des Objets Connectés : Protéger les Infrastructures Critiques Face aux Menaces Physiques

En décembre 2025, un incident de sécurité a secoué le secteur du transport maritime italien : un ferry a été piraté. Selon les premières analyses, le malware n’a pas été injecté à distance via une faille réseau, mais installé physiquement par un acteur malveillant présent à bord. Ce type d’attaque, qualifiée d’attaque de « proximité » ou « hors périmètre », remet en lumière la vulnérabilité croissante des objets connectés, ou IoT (Internet of Things), au sein des infrastructures critiques.

Cette méthodologie d’infiltration est particulièrement redoutable car elle contourne les pare-feu et les systèmes de détection d’intrusion classiques, à l’image des APT sophistiqués comme le groupe Infy qui évoluent constamment. Pour les responsables de la sécurité informatique (CISO) en France et en Europe, la question n’est plus seulement de sécuriser le réseau, mais de sécuriser l’accès physique aux équipements industriels et IoT. Cet article explore les mécanismes de ces attaques, les risques spécifiques aux environnements industriels et les stratégies de défense à adopter en 2025.

La convergence physique-numériqueque : un nouveau vecteur d’attaque

L’attaque du ferry italien illustre parfaitement ce que les experts nomment la « convergence physique-numériqueque ». Traditionnellement, la cybersécurité se concentrait sur la protection des données en transit. Or, avec l’explosion de l’IoT industriel (IIoT), les objets connectés sont désormais déployés dans des zones non sécurisées ou semi-sécurisées.

Le principe de l’attaque par installation physique

Contrairement à une attaque par déni de service (DDoS) ou un rançongiciel classique, l’installation physique de malware nécessite une présence sur le terrain. L’attaquant, souvent un “insider” (employé malveillant) ou un individu ayant obtenu un accès physique temporaire, exploite la porosité des périmètres de sécurité.

• Exposition des ports USB et interfaces : De nombreux équipements IoT industriels (automates programmables, capteurs de contrôle) disposent de ports USB ou d’interfaces de maintenance accessibles.

• Absence de signature de code : Sur ces systèmes embarqués, il n’existe souvent pas d’antivirus traditionnel capable de détecter une nouvelle signature de malware introduite via une clé USB.

• Persistance de l’attaque : Une fois le malware installé, il peut attendre en dormance ou commencer à exfiltrer des données via le réseau cellulaire ou Wi-Fi du navire (ou de l’usine), créant un pont vers l’extérieur.

“La sécurité physique est le maillon faillon de la cybersécurité moderne. Si un attaquant peut toucher la machine, il peut la contrôler.”

L’impact sur la continuité d’activité

Dans le cas d’un ferry, les conséquences vont bien au-delà de la simple perte de données. La navigation, la billetterie, les systèmes de communication et la sécurité des passagers sont compromis. En France, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) recommande une approche de sécurité by-design pour ces infrastructures, mais l’existant reste souvent vulnérable, comme l’ont montré les pannes récentes de services cloud majeurs.

Pourquoi les systèmes embarqués sont des cibles privilégiées

Les systèmes embarqués, qu’ils soient sur des ferries, des trains ou dans des usines, partagent des caractéristiques qui les rendent vulnérables. L’obsolescence des logiciels et la difficulté de mise à jour jouent en défaveur des opérateurs.

Les facteurs de vulnérabilité spécifiques :

1. Cycle de vie long : Un automate industriel peut rester en production pendant 15 à 20 ans, sans mise à jour majeure de son système d’exploitation.
2. Protocoles propriétaires : L’utilisation de protocoles industriels (comme Modbus ou Profibus) non sécurisés par conception facilite l’interception et l’injection de commandes.
3. Manque de visibilité : Les équipes IT n’ont souvent pas la visibilité sur ce qui se passe au niveau OT (Operational Technology). Un appareil qui « fonctionne » est considéré comme sûr, même s’il est compromis.

Mini-cas : Le secteur énergétique français

En 2024, plusieurs audits de sécurité menés par des cabinets de conseil français sur des sites de production d’énergie renouvelable ont révélé des équipements IoT (capteurs de vent, onduleurs) connectés avec des mots de passe par défaut (admin/admin). Si un attaquant physique s’approche de ces équipements (souvent situés en extérieur), il peut facilement s’y connecter et déployer des ransomwares qui ciblent ensuite le réseau interne de la centrale.

Stratégies de défense : Adopter une approche “Zero Trust” physique

Face à ces menaces, la simple installation d’un antivirus ne suffit plus. Il faut durcir les équipements et contrôler les accès physiques avec la même rigueur que les accès logiques.

1. Le durcissement des équipements (Hardening)

Le durcissement consiste à réduire la surface d’attaque de l’appareil, notamment face aux vulnerabilités critiques comme CVE-2025-68613 récemment identifiées.

• Désactivation des ports inutilisés : Physiquement ou logiquement, les ports USB, Bluetooth ou Ethernet non nécessaires au fonctionnement doivent être désactivés.
• Contrôle d’accès strict : L’accès au panneau de maintenance d’un équipement IoT doit nécessiter une authentification forte (badge RFID + code).
• Whitelisting d’applications : Seuls les binaires signés et autorisés doivent pouvoir s’exécuter sur l’équipement.

2. Surveillance comportementale et segmentation

Il est crucial de segmenter le réseau : l’IoT ne doit jamais cohabiter sur le même réseau VLAN que les postes de travail de l’entreprise ou les données sensibles.

De plus, la surveillance comportementale (UEBA - User and Entity Behavior Analytics) permet de détecter des anomalies. Par exemple, si un capteur de température sur un ferry commence à envoyer des données vers une adresse IP inconnue à 3h du matin, le système doit déclencher une alerte.

3. Gestion des chaînes d’approvisionnement

L’attaque du ferry italien a probablement impliqué un fournisseur tiers ou un sous-traitant. En France, les entreprises du secteur naval et industriel doivent auditer la sécurité des équipements avant leur intégration.

Mise en œuvre : Plan d’action pour sécuriser l’IoT en 2025

Pour les DSI et RSSI, voici une feuille de route concrète pour sécuriser les infrastructures connectées.

Étape 1 : Inventaire et cartographie des actifs

Vous ne pouvez pas protéger ce que vous ne connaissez pas. Réalisez un scan complet pour identifier tous les objets connectés. Cela inclut les caméras de surveillance, les thermostats, les automates et les capteurs.

Étape 2 : Évaluation des risques physiques

Pour chaque équipement, demandez-vous : « Qui peut y accéder physiquement ? ». Si un équipement est situé dans une zone accessible au public ou à des prestataires non contrôlés, le niveau de sécurité doit être maximal.

Étape 3 : Mise à jour et patching

Même si c’est complexe, établissez un calendrier de mise à jour. Utilisez des solutions de patch management automatisées compatibles avec les environnements industriels.

Étape 4 : Formation du personnel et des prestataires

Sensibilisez les équipes aux risques de l’ingénierie sociale. Un technicien qui accepte de « regarder vite fait » un problème sur un équipement sans contrôler l’identité de la personne peut être le point d’entrée de l’attaque.

Tableau comparatif : Approche Traditionnelle vs Approche IoT Sécurisé

“La sécurité des objets connectés ne se limite pas au code ; elle englobe la robustesse du boîtier, la gestion des accès et la culture de sécurité de l’organisation.”

Conclusion : La sécurité comme facteur de résilience opérationnelle

L’incident du ferry italien en décembre 2025 est un signal d’alarme pour toutes les industries dépendant de l’IoT. La menace n’est plus uniquement distante ; elle est potentielle à quelques mètres de l’équipement critique.

Pour les entreprises françaises, la conformité à la réglementation (RGPD pour les données, directives de l’ANSSI pour les opérateurs d’importance vitale) ne doit pas être un but, mais un socle minimal. La véritable sécurité réside dans une défense en profondeur qui intègre la cybersécurité physique et numérique.

Prochaine action : Demandez à vos équipes de sécurité de réaliser une « chasse proactive » (Threat Hunting) physique autour de vos équipements IoT critiques cette semaine. Identifiez les accès non contrôlés et les ports exposés. Anticiper une infiltration physique est le meilleur moyen d’éviter le prochain « IoT Hack ».