Rapport Dragos 2026 sur les OT : Les adversaires cartographient désormais les boucles de contrôle pour causer des dommages physiques

Du réseau piraté aux conséquences physiques

La cybersécurité industrielle a franchi un seuil en 2025. Les adversaires ne se contentent plus de chiffrer des fichiers ou de voler des données — ils apprennent comment fonctionnent réellement les usines, les pipelines et les stations de traitement d’eau.

Selon le rapport Dragos 2026 OT Cybersecurity Year in Review, Dragos suit désormais 26 groupes de menaces axés sur les OT, dont 11 actifs en 2025. Trois de ces groupes — SYLVANITE, AZURITE et PYROXENE — ont été nouvellement identifiés au cours de la période de référence et représentent un changement qualitatif dans la sophistication des adversaires : ils n’exploitent pas simplement des vulnérabilités connues, ils apprennent la logique des processus des systèmes industriels avant de frapper.

Cette distinction est opérationnellement critique. Un acteur de la menace qui a cartographié la relation entre un capteur, un contrôleur et un actionneur physique peut causer des dommages physiques ciblés — surpression d’un pipeline, grillage d’un moteur, erreur de dosage dans le traitement d’eau — sans jamais toucher un système IT d’entreprise.

Les chiffres derrière ce changement

Les ransomwares ciblant les organisations industrielles ont augmenté de 49 % en glissement annuel en 2025, affectant 3 300 organisations dans le monde. Le rapport Dragos identifie 119 groupes de ransomwares capables d’affecter les environnements opérationnels — contre 80 en 2024 — le secteur de la fabrication absorbant plus des deux tiers de toutes les victimes industrielles.

Trois profils de groupes de menaces issus du rapport 2026 illustrent l’étendue du nouveau paysage de menaces :

KAMACITE a systématiquement cartographié les boucles de contrôle des infrastructures américaines, ciblant les interfaces homme-machine (HMI), les variateurs de fréquence et les passerelles distantes pour comprendre exactement comment les commandes sont originées, parcourent un réseau et affectent les systèmes physiques. Le groupe a également étendu ses opérations aux chaînes d’approvisionnement européennes. SYLVANITE fonctionne comme un courtier d’accès — exploitant rapidement les vulnérabilités des produits Ivanti, F5, SAP et ConnectWise pour établir des points d’appui, puis transférant cet accès à des groupes plus capables. PYROXENE conduit des compromissions de la chaîne d’approvisionnement ciblant les secteurs de l’aviation, de l’aérospatiale, de la défense et du maritime.

Un chiffre du rapport Dragos est particulièrement révélateur : les organisations dotées d’une bonne visibilité OT ont contenu les incidents en 5 jours en moyenne, contre 42 jours pour la moyenne du secteur. La visibilité est un multiplicateur de 8× sur la vitesse de réponse.

Pourquoi la cartographie des boucles de contrôle change l’équation des risques

Selon l’analyse du SANS Institute sur le rapport Dragos, « la perturbation OT se produit souvent sans toucher aux contrôleurs ». Les adversaires ont appris que les plateformes de virtualisation, les systèmes d’identité et les logiciels de postes de travail d’ingénierie — adjacents au plan de contrôle — suffisent pour provoquer des arrêts opérationnels.

L’activité de cartographie des boucles de contrôle documentée pour KAMACITE va plus loin. En récupérant systématiquement les seuils d’alarme, les conditions d’activation des systèmes de sécurité, les relations capteur-contrôleur et les informations sur les équipes opérateurs, un adversaire construit une réplique numérique du processus physique. Cette réplique peut ensuite être utilisée pour chronométrer une attaque en vue d’un impact physique maximal.

Ce que les équipes de sécurité industrielle doivent faire

1. Auditer chaque actif OT exposé à Internet ce trimestre

Le succès de SYLVANITE repose sur des organisations laissant Ivanti, F5, SAP NetWeaver et ConnectWise exposés à Internet sans correctifs récents. Le modèle de courtier d’accès signifie qu’une seule passerelle non corrigée peut être vendue à cinq groupes différents. Effectuez une analyse authentifiée de tous les actifs accessibles depuis Internet dans la DMZ OT/IT. Tout dispositif non patché au cours des 60 derniers jours doit être traité comme compromis jusqu’à vérification. Utilisez la segmentation réseau pour garantir qu’un actif DMZ compromis ne puisse pas atteindre directement le réseau de contrôle de processus.

2. Déployer une visibilité réseau spécifique OT avant la fin de l’année

L’écart de 5 jours contre 42 jours s’explique entièrement par des outils de visibilité OT passifs (tels que Dragos Platform, Forescout ou Nozomi Networks) qui établissent une base de référence des communications de processus normales et alertent sur les séquences de commandes anormales. Les outils de sécurité IT d’entreprise — SIEM, EDR — ne parlent pas Modbus, DNP3 ou EtherNet/IP et ne peuvent pas détecter l’énumération HMI ni la reconnaissance des boucles de contrôle. Budgétisez cela pour le second semestre 2026 si ce n’est pas déjà en place.

3. Inventorier les postes de travail d’ingénierie et limiter l’accès distant

AZURITE et PYROXENE ciblent tous deux les postes de travail d’ingénierie car ils sont la source faisant autorité des fichiers de configuration, des schémas réseau, des seuils d’alarme et des données GIS — exactement le renseignement sur les boucles de contrôle que les adversaires avancés recherchent. Chaque poste de travail d’ingénierie doit être inventorié, patché selon un cycle fixe et accessible uniquement via un serveur de rebond sécurisé avec authentification multi-facteurs.

4. Étendre la gestion des risques tiers aux intégrateurs système

Le rapport Dragos signale explicitement les cabinets d’ingénierie, les intégrateurs système et les prestataires de services gérés comme des cibles prioritaires. Exigez de tous les tiers ayant un accès distant ou sur site aux environnements OT qu’ils réalisent une évaluation annuelle de sécurité OT et notifient sous 24 heures tout incident de sécurité sur leur propre infrastructure.

5. Réaliser un audit annuel de documentation des boucles de contrôle

Si un adversaire tente de cartographier vos boucles de contrôle, l’asymétrie de connaissance importe. Commandez un examen annuel documentant, pour chaque unité de processus critique : la chaîne capteur-contrôleur-actionneur, la logique des interverrouillages de sécurité, les seuils d’alarme et les procédures de dérogation manuelle. Stockez cette documentation dans un système à accès limité. Toute déviation par rapport à la base de référence lors d’un incident actif est un indicateur immédiat de compromission.

La vue d’ensemble : Le risque OT est désormais un risque de niveau conseil

Le rapport Dragos 2026 énonce clairement quelque chose que les bulletins trimestriels sur les menaces expriment rarement : la convergence des réseaux IT et OT a éliminé l’avantage de l’« air gap » sur lequel les opérateurs industriels comptaient depuis des décennies.

Avec 119 groupes de ransomwares désormais capables d’affecter les environnements opérationnels et trois groupes nouvellement identifiés spécifiquement axés sur la compréhension des conséquences physiques d’une cyberattaque, le profil de risque pour les opérateurs industriels a évolué de « on pourrait être chiffrés » à « on pourrait perdre le contrôle physique d’un processus ». Les organisations qui s’en sortiront bien sont celles qui traitent la sécurité OT non pas comme un sous-problème IT, mais comme une discipline à part entière.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Principales conclusions du rapport Dragos 2026 sur les OT — Kiteworks
• Dragos publie son rapport OT/ICS 2026 — Manufacturing Management
• Principaux enseignements du rapport Dragos OT 2026 — SANS Institute
• Rapport annuel OT Cybersecurity Year in Review — BusinessWire
• Dragos publie son rapport OTICS 2026 — Manufacturing Management UK