Attaques industrielles : la convergence IT/OT est devenue leur principale porte d'entrée, chiffres 2026 à l'appui

Dans l'industrie, la cybermenace n'a plus rien d'hypothétique. Les rapports de menaces 2026, publiés par les organisations dont le métier est de suivre les attaques contre les technologies opérationnelles (OT, les systèmes qui pilotent des procédés physiques), dressent tous le même tableau de l'année écoulée : plus d'attaquants, plus d'automatisation, et l'industrie manufacturière encore en tête des cibles. Ces chiffres méritent qu'on s'y arrête, car ils ne disent pas seulement que la menace a grossi : ils disent par où elle entre désormais.

Cet article regarde ce que ces données impliquent concrètement pour un responsable sécurité ou opérations : celui qui doit chiffrer le risque, défendre un budget ou répondre à un régulateur. Il sert de socle de preuve au reste de nos travaux sur la sécurisation de la convergence IT/OT.

La menace industrielle a changé d'échelle en 2025

Trois rapports indépendants, avec des méthodes différentes, vont dans le même sens.

Dragos, spécialiste de la sécurité OT, a recensé 119 groupes de rançongiciel visant environ 3 300 organisations industrielles en 2025, contre 80 groupes l'année précédente, avec un volume d'attaques en hausse de 64 % sur un an. Plus des deux tiers des victimes relèvent de l'industrie manufacturière. La firme suit désormais 26 groupes d'attaquants ciblant les systèmes industriels, dont 11 actifs en 2025, et en a nommé trois nouveaux (Azurite, Pyroxene et Sylvanite).

L'Index X-Force Threat Intelligence 2026 d'IBM établit que l'industrie manufacturière a été le secteur le plus attaqué pour la cinquième année consécutive, représentant 27,7 % de l'ensemble des incidents traités par ses équipes, tous secteurs confondus. L'objectif le plus fréquent : le vol de données.

Le Rapport 2025 sur l'état de la cybersécurité des technologies opérationnelles de Fortinet, fondé sur une enquête auprès de plus de 550 professionnels de l'OT, montre que la moitié des organisations ont déclaré au moins un incident de cybersécurité sur l'année. Il enregistre aussi un déplacement de la gouvernance : plus de 95 % ont remonté la sécurité OT au niveau de la direction générale, et la responsabilité confiée à un RSSI ou à la direction passe à 52 %, contre 16 % en 2022.

Ce qui change n'est pas qu'une question de volume. Une attaque contre un site industriel était rare et ciblée ; elle est devenue courante, et menée comme une activité commerciale.

Pourquoi ces chiffres pointent vers la frontière IT/OT

Les rapports s'accordent sur un point plus précis que le volume : la manière dont les attaquants entrent. Ils entrent par les connexions qu'a créées la convergence.

Les données 2026 désignent les mêmes points d'entrée, tous situés en bordure de réseau plutôt qu'au coeur de l'usine :

• Les applications exposées sur Internet. IBM relève une hausse de 44 % des attaques démarrant par l'exploitation d'une application exposée sur Internet.
• Les vulnérabilités non corrigées. L'exploitation de vulnérabilités est la première porte d'entrée, à l'origine de 40 % des incidents traités par IBM.
• Les équipements de périmètre exposés. Dragos, dans son rapport 2025, constate que 22 % des avis de vulnérabilité industriels analysés étaient à la fois exploitables à distance et exposés en périmètre, contre 16 % l'année précédente. Le nouveau groupe Sylvanite a emprunté exactement cette voie, pénétrant des opérateurs d'énergie aux États-Unis via des vulnérabilités d'équipements de périmètre.

Aucune de ces attaques ne vise directement un automate programmable industriel (API). Elles visent la bordure du réseau : les applications accessibles depuis Internet, les boîtiers d'accès distant et les services exposés qui n'existaient pas quand l'OT était isolée. Le rançongiciel atteint l'usine en entrant par l'IT, puis en franchissant la frontière vers l'OT. C'est précisément à cette frontière IT/OT que la convergence a placé le risque.

Ce n'est pas théorique. En mars 2019, le rançongiciel LockerGoga a traversé le réseau informatique de Norsk Hydro, l'un des plus grands producteurs d'aluminium au monde, atteignant 22 000 postes sur 170 sites. Il ne visait pas les automates industriels, et pourtant les lignes de production automatisées ont été arrêtées et les usines sont repassées en mode manuel, stylo et papier. L'incident a coûté environ 70 millions de dollars à l'entreprise. Une compromission côté IT s'est propagée jusqu'à la production, en franchissant une frontière qui n'avait jamais été conçue pour faire barrage.

Norsk Hydro n'est pas un cas isolé. Le même schéma, une compromission partie de l'IT qui finit par arrêter des opérations physiques, a frappé secteur après secteur :

À chaque fois, les attaquants sont entrés par l'IT. Les dégâts ont touché la production.

Le coût n'est pas seulement technique

Quand un site industriel est touché, la conséquence est physique, pas seulement numérique. Dragos relève que, parmi les cas de rançongiciel qu'il a traités en 2024, 25 % ont entraîné l'arrêt complet d'un site OT et 75 % ont perturbé les opérations. Production perdue, matière gâchée et exposition à un risque de sûreté en découlent, et c'est pourquoi l'OT donne la priorité absolue à la disponibilité.

Les données révèlent aussi un angle mort. Dragos rapporte que seulement 46 % des environnements OT qu'il a évalués disposaient d'une supervision réseau adéquate. Avec une bonne visibilité, les organisations ont détecté et contenu un incident de rançongiciel OT en 5 jours environ, contre 42 en moyenne dans le secteur. L'écart entre ces deux chiffres, c'est la différence entre un incident maîtrisé et un arrêt.

Vous ne savez pas à quel point votre frontière IT/OT est exposée ? Brixio cartographie le point où votre réseau opérationnel rejoint l'IT et où le risque se concentre, avant tout déploiement. → Demander un diagnostic risques OT

L'IA est désormais des deux côtés de la frontière

Le fait marquant des rapports 2026, c'est l'intelligence artificielle (IA). Et elle joue dans les deux camps : en attaque et en défense.

Côté attaquant, l'IA abaisse le coût d'une attaque et en augmente la vitesse. IBM a intitulé son index 2026 « AI-Driven Attacks are Escalating » (les attaques pilotées par l'IA s'intensifient). Rapproché du Rapport sur les menaces 2026 de Cloudflare, le tableau fait ressortir plusieurs façons dont l'automatisation change la menace :

• Une découverte de vulnérabilités accélérée. L'analyse assistée par IA explique en partie la hausse de 44 % des attaques via des applications exposées (IBM).
• Le vol d'identifiants d'IA à grande échelle. Plus de 300 000 jeux d'identifiants d'un seul service d'IA ont été mis en vente sur des marchés criminels en 2025 (IBM).
• Des attaques qui s'adaptent en temps réel. Les attaquants utilisent l'IA pour étudier leurs cibles, exploiter de grands volumes de données et ajuster leur approche au fil de l'eau (IBM).
• Des tentatives d'accès automatisées. 94 % des tentatives de connexion observées par Cloudflare proviennent de bots, et 63 % des connexions réutilisent des identifiants déjà compromis ailleurs.

Les attaques volumétriques ont suivi la même automatisation : une attaque par déni de service distribué (DDoS) record à 31,4 Tbps fin 2025, un nombre total d'attaques DDoS plus que doublé sur l'année, et les attaques au-delà de 1 Tbps en hausse de 700 %.

Pour un site industriel où IT et OT ont convergé, c'est le pire des scénarios. La frontière est le point d'entrée, les équipements anciens situés derrière ne peuvent pas suivre, et les attaques arrivent désormais à la vitesse machine.

Côté défense, cette même automatisation est la réponse. Une attaque qui culmine en quelques secondes ne peut pas être contrée par un humain qui lit un tableau de bord. Elle doit l'être par une défense automatisée en bordure de réseau :

• Une atténuation DDoS qui se déclenche en quelques secondes, absorbant les attaques volumétriques avant qu'elles n'atteignent la couche de convergence.
• Une gestion des bots par apprentissage automatique qui distingue les utilisateurs réels des tentatives de connexion automatisées qui forment désormais l'essentiel du trafic.
• Un pare-feu applicatif (WAF) qui bloque les exploits connus avant qu'ils n'atteignent une interface exposée, y compris des systèmes anciens impossibles à corriger.

C'est pourquoi on associe la frontière IT/OT à une sécurité pilotée par l'IA : la menace est automatisée, le bouclier doit l'être aussi.

L'impératif légal : NIS2

Les données 2026 changent ce à quoi un conseil d'administration est exposé, parce que la loi a évolué en parallèle. La directive NIS2 de l'Union européenne étend les obligations de cybersécurité à 18 secteurs et fait entrer l'industrie manufacturière dans le périmètre, aux côtés de l'énergie, de l'eau, de la santé et des transports.

Trois points en font un sujet de direction générale, et non une question purement technique :

• Une responsabilité personnelle. La direction est tenue responsable de la conformité, et un manquement de gouvernance peut conduire à une interdiction temporaire d'exercer des fonctions de direction.
• Une exposition financière. Les entités essentielles encourent des amendes jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %.
• Un calendrier serré. Un incident significatif impose une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final sous un mois.

Au regard des données de menaces, le constat est net. La convergence qui a exposé la frontière OT a aussi rendu un incident cyber industriel plus probable, et NIS2 transforme l'incapacité à le maîtriser en responsabilité personnelle et financière pour les dirigeants. Le détail du respect de ces obligations est traité dans notre travail sur la conformité NIS2.

Ce que les données imposent de faire

Les chiffres 2026 mènent à une seule conclusion. La priorité n'est pas un outil de plus qui surveille l'intérieur du réseau OT, aussi utile soit-il. C'est de sécuriser la frontière que les attaquants empruntent réellement : contrôler qui peut atteindre les systèmes opérationnels, segmenter le réseau pour qu'une compromission côté IT ne puisse pas se propager vers l'OT, réduire ce qui est exposé à Internet, et placer une défense automatisée en amont.

C'est la couche frontière que Brixio construit pour la convergence IT/OT. En tant que partenaire Cloudflare ASDP (Authorised Service Delivery Partner), Brixio la déploie en surcouche autour des équipements existants, sans modifier les automates ni arrêter la production. Les autres articles de cette série vont plus loin : la différence entre sécurité IT et OT, comment le Zero Trust modernise le modèle Purdue, la correspondance d'une frontière Cloudflare avec l'IEC 62443, les cinq fonctionnalités Cloudflare qui sécurisent la frontière, et pourquoi Cloudflare et les éditeurs OT natifs sont complémentaires plutôt que concurrents. Nos pages sectorielles industrie et énergie déclinent la même approche sur des environnements précis.

Sécuriser votre frontière IT/OT

Brixio évalue les points d'exposition de votre réseau opérationnel et conçoit la couche frontière avant tout déploiement.

CTA primaire : Voir comment sécuriser la frontière IT/OT

CTA secondaire : Demander un diagnostic risques OT