Un parc éolien immobilisé pendant quelques heures, c’est forcément un préjudice financier pour son exploitant. À l’origine de l’incident, des hacktivistes qui ont pris la main, à distance, sur des interfaces de gestion d’installations industrielles accessibles depuis internet. L’épisode est relaté par le CERT-FR, rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), dans la mise à jour publiée le 23 octobre 2026 de ses « Recommandations à destination des acteurs du secteur de l’énergie et de l’eau ».
Le document, dont la première version remonte au 22 janvier 2026, s’adresse aux producteurs, aux intégrateurs et aux installateurs de systèmes industriels. Le constat est posé d’emblée : depuis plusieurs mois, l’agence fait état de signalements nombreux sur des tentatives de ciblage d’acteurs français de la production d’énergie renouvelable et de la gestion de l’eau.
Les petites installations ne sont pas épargnées. Comment se protéger dans ce contexte ?
Hacktivistes et acteurs étatiques, deux niveaux de menace
Le CERT-FR distingue deux familles d’attaquants, des groupes hacktivistes et des acteurs liés à des États, dont les moyens comme les objectifs diffèrent largement.
Des hacktivistes aux moyens limités
Selon l’agence, ces groupes proches de la mouvance hacktiviste mobilisent en général peu de compétences techniques, avec des effets parfois bien réels pour leurs victimes. Le groupe pro-russe Cyber Army of Russia Reborn en a fait la démonstration en 2024 au Texas, en faisant déborder un réservoir à Muleshoe après avoir pris la main sur plusieurs interfaces homme-machine.
Des acteurs étatiques, une menace d’un autre calibre
Avec les acteurs étatiques, la menace change d’échelle. Entre fin 2025 et l’été 2026, des infrastructures énergétiques situées en Europe et en Amérique du Nord ont été visées par des opérations de déstabilisation, dont certaines ont abouti à une compromission. Le CERT-FR les impute, au conditionnel, à des acteurs étatiques, certains pouvant être rattachés à la Russie ou à l’Iran.
Les objectifs poursuivis et les moyens mobilisés exposent cette fois les entités visées à des conséquences potentiellement plus lourdes. L’agence se veut toutefois rassurante : des actions de sécurisation simples permettent de les éviter.
Interfaces ouvertes et protocoles sans authentification, les failles pointées par le CERT-FR
Des interfaces de gestion joignables depuis internet
Premier point faible : les interfaces de gestion des installations industrielles. Certaines sont joignables depuis internet sans aucune authentification, d’autres restent protégées par un simple mot de passe par défaut.
Les protocoles industriels aggravent parfois la situation. Dépourvus de mécanisme d’authentification, ils laissent à un attaquant la possibilité d’agir directement sur le procédé industriel dès lors que des flux sont ouverts vers internet.
Le secteur de l’eau, un parc hétérogène
Le secteur de l’eau cumule les fragilités. Les installations y sont parfois anciennes, dispersées sur le territoire, et disposent d’un niveau de sécurité informatique très variable d’un site à l’autre. Les cybercriminels opportunistes en quête de gains financiers y représentent la menace principale.
Les hacktivistes ont eux aussi investi le terrain. En 2024, ils ont ciblé ou menacé à plusieurs reprises des infrastructures de l’eau à l’approche des Jeux Olympiques et Paralympiques de Paris.
Cinq mesures minimales pour reprendre la main sur les accès
Pour éviter les piratages, le mieux reste de bien contrôler qui peut accéder aux installations. Le CERT-FR fixe un socle de cinq mesures minimales et invite les exploitants à solliciter leur installateur en cas de besoin :
- Le filtrage par adresse IP source. Seuls les équipements et les applications autorisés peuvent joindre l’installation, qu’il s’agisse d’un accès distant à une interface homme-machine ou d’un échange avec un automate par un protocole industriel.
- Le tunnel VPN. Un VPN IPsec ou TLS encadre les connexions distantes, avec une authentification solide et la garantie que les échanges ne sont pas altérés.
- La revue des comptes et des mots de passe. Les identifiants par défaut, sur le terminal de maintenance comme sur les automates, laissent place à des mots de passe solides, complétés par une authentification multifacteur lorsque l’équipement la propose.
- Un outil d’accès distant tenu à jour. Le logiciel retenu reste suivi par son éditeur et s’appuie sur des protocoles standardisés et éprouvés, comme TLS ou SSH.
- Des correctifs appliqués sans délai. Les mises à jour de sécurité concernent aussi bien le poste client que le serveur.
Ces protections sont souvent à portée de main. La plupart des box internet, grand public comme professionnelles, savent déjà filtrer les connexions selon l’adresse IP et héberger un VPN, le plus souvent sans matériel supplémentaire. Lorsque ces mesures ne peuvent pas être mises en œuvre, le mieux reste de déconnecter d’internet les installations concernées pour les piloter directement sur site.
Sites déconnectés : la clé USB, angle mort de la gestion sur place
Couper un site d’internet referme la porte de l’accès distant. Le risque se déplace alors vers ce qui entre physiquement sur le site, à commencer par les supports amovibles.
Le guide de l’ANSSI consacré à la cybersécurité des systèmes industriels, dans sa version 2.0 du 10 mars 2025, range l’isolement des réseaux industriels parmi les idées reçues. Il classe les consoles de maintenance et les clés USB parmi les « vecteurs majeurs de propagation de virus, y compris sur des systèmes isolés ». Le besoin de faire remonter des données vers l’informatique de gestion finit d’ailleurs par rendre illusoire tout cloisonnement parfaitement hermétique des réseaux industriels.
Une simple clé USB passée d’un système industriel isolé à un autre peut suffire à les rendre indisponibles si elle transporte un code malveillant. Sur un parc éolien ou dans une station de traitement de l’eau pilotés sur place, chaque support introduit lors d’une opération de maintenance devient ainsi un point d’entrée à surveiller, au même titre qu’un accès distant.
C’est précisément sur ce maillon que TYREX accompagne les exploitants soumis à de fortes exigences de sécurité, avec des solutions de décontamination des supports amovibles conçues pour les environnements industriels et cloisonnés.
