En brefSouvent, oui. Un accès à distance ouvert pour un fournisseur, un modem cellulaire de télémétrie ou une interface de supervision joignable de l’extérieur contournent complètement ton pare-feu. Pour le savoir, ça prend trois choses : la liste des accès à distance, l’inventaire de ce qui communique avec Internet et une revue de qui peut entrer.
Le service de maintenance d’un fabricant de machines doit installer une mise à jour. Il demande d’installer TeamViewer directement sur l’ordinateur qui contrôle la machine, avec l’accès sans surveillance activé pour ne pas avoir à rappeler chaque fois. Un opérateur l’installe. La mise à jour se fait, la production continue.
Le logiciel reste là après l’intervention.
Trois ans plus tard, il roule toujours au démarrage du poste. Le mot de passe n’a jamais changé et il est le même chez les autres clients du fabricant. Personne aux TI n’a été informé de l’installation. Et rien, absolument rien, ne signale qu’une porte est restée ouverte.
La vraie question n’est pas de savoir si ton pare-feu est bien configuré. C’est de savoir combien de portes existent à côté de lui.
La règle Ékivo : rien de la production ne parle directement à Internet
Trois principes, dans cet ordre. Le premier n’est pas négociable, les deux autres rendent le premier vivable au quotidien.
Aucune exposition directe
Aucun automate, aucune interface de supervision, aucun modem de télémétrie joignable depuis Internet. Les exceptions doivent être justifiées, documentées et protégées.
L’accès fournisseur s’ouvre et se ferme
Un accès est ouvert pour une intervention précise, avec un compte nommé et la MFA, puis refermé. Jamais un accès permanent « au cas où ».
Une frontière surveillée entre TI et OT
Tout ce qui va du réseau administratif vers la production passe par un intermédiaire contrôlé. Refusé par défaut, autorisé à l’exception.
Ça ressemble à du gros bon sens. Dans la plupart des usines qu’on visite, c’est pourtant le troisième point qui manque, et le premier qui réserve des surprises.
Pourquoi le pare-feu ne suffit pas
Un pare-feu filtre ce qui traverse le point d’entrée du réseau, selon les règles qu’on lui a données. Il protège donc exactement ce qu’on l’a configuré pour protéger, et rien d’autre.
Dans une usine, d’autres chemins existent en parallèle :
- un accès à distance installé par le fabricant d’une machine;
- un modem cellulaire utilisé pour la télémétrie, qui ne passe même pas par ton réseau;
- un logiciel d’accès à distance comme TeamViewer, AnyDesk ou VNC, installé par un fournisseur sur l’ordinateur qui contrôle une machine;
- une interface de supervision joignable de l’extérieur;
- une règle créée « temporairement » pour une maintenance.
Aucun de ces chemins ne passe nécessairement par le même contrôle que tes postes administratifs. C’est ce qui rend la question difficile : ton pare-feu peut être impeccable et ton usine rester exposée.
Le cas des logiciels d’accès à distance mérite qu’on s’y arrête, parce que c’est le plus fréquent et le plus invisible. Ces outils établissent une connexion sortante vers le service du fournisseur, puis attendent. Tes règles de pare-feu, qui filtrent ce qui entre, ne voient donc rien d’anormal. La porte n’est pas percée dans le mur, elle est ouverte de l’intérieur.
Ça devient du shadow IT industriel : un outil installé de bonne foi par un fournisseur ou un opérateur, hors de tout processus, que plus personne ne suit. Souvent avec un accès sans surveillance, un mot de passe partagé entre plusieurs clients du même fabricant, et aucune MFA.
Et le plus souvent, ce logiciel n’est pas sur un poste de supervision au bureau de l’usine. Il est sur l’ordinateur qui contrôle la machine elle-même : le PC intégré à la CNC, la station d’ingénierie, le poste qui pilote la ligne. C’est le pire endroit possible. Ces ordinateurs roulent souvent une vieille version de Windows que personne ne peut mettre à jour sans l’accord du fabricant, sous peine de perdre la garantie ou de briser le procédé. Celui qui entre là n’est pas à côté de ta production, il est dedans.
TI et OT : deux mondes, deux logiques
Les technologies de l’information (TI) font rouler l’entreprise : ordinateurs, serveurs, courriel, applications, fichiers. Les technologies opérationnelles, presque toujours appelées OT sur le terrain, surveillent et contrôlent des équipements physiques : automates, systèmes de supervision, interfaces d’opérateur, systèmes de contrôle industriel.
La différence n’est pas seulement technique, elle est culturelle. Un équipement OT a été conçu pour durer des décennies, avec la fiabilité du procédé comme priorité absolue. On le corrige rarement, parfois seulement pendant un arrêt planifié. Et plusieurs protocoles industriels n’offrent ni chiffrement ni authentification intégrés.
Résultat : on ne sécurise pas une usine comme on sécurise un bureau. Mais on ne peut pas non plus faire comme si le problème n’existait pas.
Ce que le Centre canadien pour la cybersécurité a observé
Le Centre constate que des auteurs de cybermenace non étatiques ciblent les systèmes OT vulnérables et exposés à Internet au Canada. En octobre 2025 seulement, trois incidents canadiens :
- un système municipal d’alimentation en eau compromis, avec manipulation des valves de pression et répercussions mineures sur le service;
- un accès au circuit de jaugeage d’un réservoir de carburant dans un aéroport, sans possibilité de manipuler les contrôles;
- un accès au système de contrôle d’un silo-séchoir à grains, avec modification de la température et de l’humidité, sans dommage.
La méthode n’a rien de sophistiqué. Des outils de balayage publics repèrent les équipements exposés, puis les attaquants exploitent des accès à distance désuets ou mal configurés comme le protocole VNC, des mots de passe faibles ou par défaut, et des systèmes sans MFA (authentification multifacteur, ou AMF en français).
Le bulletin vise les infrastructures essentielles, pas ton usine de 60 employés. Mais les portes d’entrée décrites sont exactement les mêmes : un accès fournisseur oublié, un mot de passe d’usine jamais changé, une interface joignable de l’extérieur. Les attaquants balaient Internet, ils ne choisissent pas leurs victimes une par une.
Sa mesure principale tient en une phrase : retirer la connexion des systèmes de production à Internet et établir une frontière stricte, surveillée et contrôlée entre les réseaux administratifs et les réseaux de production.
Bon à savoir : le Centre le dit explicitement. Les mesures compensatoires comme la segmentation ou la surveillance ne suffisent pas si un équipement de production demeure joignable depuis Internet. On commence donc toujours par fermer la porte, pas par la surveiller. C’est aussi le principe de base de la réduction de la surface d’attaque.
Six vérifications à faire sur tes accès à distance
- Dresse la liste des accès à distance. Fabricants de machines, intégrateurs, services de télémétrie et anciens mandats de maintenance.
- Inventorie ce qui est connecté. Machines, systèmes de supervision, modems cellulaires et services qui communiquent avec l’extérieur. Vérifie aussi quels logiciels d’accès à distance sont installés sur les ordinateurs qui contrôlent tes machines, CNC et stations d’ingénierie comprises, et qui les a installés.
- Nomme un responsable par accès. Le fournisseur, la personne interne responsable, le type d’accès et la raison de son maintien.
- Fais vérifier ce qui est joignable depuis Internet. Ton fournisseur TI peut le confirmer par une vérification externe autorisée. Ça ne remplace pas l’inventaire interne, ça le valide.
- Renforce les accès qui restent nécessaires. MFA obligatoire sur tous les comptes accessibles à distance, fournisseurs et techniciens de maintenance compris. Aucun compte partagé. Les mots de passe par défaut du fabricant changés avant tout raccordement au réseau.
- Sépare les réseaux TI et OT. Un poste administratif compromis ne devrait jamais pouvoir atteindre les machines. Les communications nécessaires passent par un pare-feu bien configuré ou un poste dédié dans une DMZ, et les connexions vers la production sont refusées par défaut.
Une mise en garde sur la segmentation : les réseaux d’usine sont souvent « plats », et séparer sans préparation peut interrompre un procédé. Ça se planifie avec tes gens de production, pas un vendredi après-midi.
Fermer les portes ne suffit pas
Fermer les accès inutiles réduit ta surface d’attaque. Mais ça ne suffit pas pour mettre l’usine à l’abri. Il faut aussi :
- des correctifs appliqués selon les contraintes de chaque équipement
- une protection des postes et des serveurs
- la sécurité du courriel
- la MFA sur les comptes d’utilisateurs
- des sauvegardes qui incluent les configurations, les rôles, les automates, les dessins techniques et les outils, testées au moins une fois par année
Ce dernier point mérite une insistance. Une sauvegarde de serveur de fichiers ne te fera pas repartir une ligne de production. Ce sont les configurations et les programmes d’automates qui comptent, et c’est presque toujours ce qui manque quand on vérifie.
Questions fréquentes
Un équipement de production peut-il être corrigé comme un ordinateur?
Pas toujours. Plusieurs équipements ne reçoivent plus de mises à jour, ou seulement pendant un arrêt planifié. C’est justement pour ça que l’isolement réseau compte autant : quand tu ne peux pas corriger, tu dois rendre l’équipement inatteignable.
Un logiciel comme TeamViewer sur l’ordinateur d’une machine, est-ce si grave?
Ça dépend de comment il est configuré, mais le problème est rarement l’outil lui-même. C’est l’accès sans surveillance, le mot de passe partagé, l’absence de MFA et le fait que personne aux TI ne sait qu’il est là. Un outil d’accès à distance géré par ton équipe, avec des comptes nommés et une trace des sessions, c’est une autre histoire.
Le fournisseur de la machine refuse de retirer son accès permanent. Que faire?
Propose-lui une connexion supervisée ou un accès activé à la demande plutôt qu’un accès permanent. La plupart des fabricants acceptent quand la demande est claire et que le processus d’ouverture est simple. Si ça bloque, c’est une clause à revoir au prochain contrat d’entretien.
Est-ce que ça concerne aussi une petite usine?
Oui. Les attaquants balaient Internet à la recherche d’équipements exposés, sans se demander qui est derrière. Une petite entreprise s’appuie aussi sur plus de fournisseurs externes, ce qui multiplie les accès qu’elle ne contrôle pas elle-même.
Et si on ne sait pas par où commencer?
Par la liste des accès à distance. C’est l’exercice le moins technique et celui qui révèle le plus de choses. Dans la majorité des usines, il fait ressortir au moins un accès que plus personne n’utilise.
Ce que tu dois pouvoir répondre pour chaque accès à distance
- Qui peut accéder aux équipements de production
- Par quel chemin passe chaque accès
- Quel compte est utilisé, et s’il est nommé ou partagé
- Pourquoi l’accès est encore ouvert
- Quand il sera révisé, et qui confirme sa fermeture
Combien de portes existent à côté de ton pare-feu?
Commence par la liste ci-dessus. Si plusieurs réponses sont inconnues, tu viens de trouver ton premier chantier.
Si tu préfères aller plus vite, parlons-en. En 30 minutes, on regarde comment structurer la vérification sans interrompre tes opérations.
Sources
- Centre canadien pour la cybersécurité : Bulletin sur les cybermenaces, activités non étatiques ciblant les technologies opérationnelles canadiennes
- Centre canadien pour la cybersécurité : Abus de systèmes de contrôle industriels accessibles depuis Internet par des hacktivistes (AL25-016)
- Centre canadien pour la cybersécurité : Les cybermenaces visant les technologies opérationnelles
- Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026
Article adapté avec la permission de The Technology Press.