Le dernier rapport de l’équipe d’intervention d’urgence face aux cybermenaces visant les systèmes de contrôle industriel (ICS CERT) de Kaspersky révèle des tendances à la fois encourageantes et préoccupantes dans le paysage des cybermenaces qui pèsent sur les systèmes d’automatisation industrielle au 2e trimestre 2025.
Au total, 20,5 % des ordinateurs ICS ont fait l’objet du blocage d’objets malveillants au cours du trimestre, soit une baisse de 1,4 point de pourcentage par rapport au 1er trimestre 2025 et de 3,0 points de pourcentage par rapport au 2e trimestre 2024.
Si ce recul témoigne de progrès dans la réduction de l’exposition, les disparités régionales et l’évolution des techniques d’attaque mettent en évidence des risques persistants pour les environnements de technologie opérationnelle (OT).
Tendances mondiales et régionales
À l’échelle mondiale, le pourcentage d’ordinateurs ICS ayant rencontré des menaces bloquées allait de 11,2 % en Europe du Nord à 27,8 % en Afrique.
La plupart des régions ont enregistré un recul des tentatives d’infection par rapport au trimestre précédent, à l’exception de l’Australie, de la Nouvelle-Zélande et de l’Europe du Nord, où les taux ont augmenté. Cette variation géographique souligne les différences en matière de maturité des infrastructures, d’adoption des correctifs et de ciblage par les attaquants.
Résultats par secteur d’activité
Dans l’ensemble des secteurs étudiés, le pourcentage d’ordinateurs ICS ayant fait l’objet du blocage d’objets malveillants a diminué au 2e trimestre 2025. Toutefois, le secteur de la biométrie affichait le taux d’exposition le plus élevé, ce qui reflète la grande valeur des systèmes d’identité et d’authentification.
Malgré le recul global, l’ampleur de l’activité malveillante reste importante : Kaspersky a bloqué des logiciels malveillants appartenant à 10 408 familles différentes sur les réseaux OT au cours du trimestre.
Sources des menaces et vecteurs d’infection
Les menaces provenant d’Internet restent le vecteur le plus courant dans les environnements OT, notamment via des sites web compromis, des téléchargements malveillants et des services cloud compromis.
Au 2e trimestre 2025, l’accès à des ressources Internet figurant sur une liste de blocage a été empêché pour 5,91 % des ordinateurs ICS, une hausse liée à du code malveillant hébergé sur des plateformes populaires de partage de fichiers. Les documents malveillants ont également légèrement progressé, étant détectés sur 1,97 % des systèmes.
Les menaces véhiculées par e-mail gagnent elles aussi en importance. L’hameçonnage — messages contenant des pièces jointes malveillantes, des logiciels espions et des scripts — représentait une part croissante des compromissions de systèmes ICS, les taux ayant augmenté dans toutes les régions sauf en Russie.
Parallèlement, les menaces provenant de supports amovibles et de dossiers réseau ont continué de reculer, atteignant leur plus bas niveau mondial depuis le 2e trimestre 2022.
Catégories de logiciels malveillants
Les attaques en plusieurs étapes restent la norme, les outils d’infection initiaux ouvrant la voie aux logiciels espions, aux rançongiciels et aux cryptomineurs. Bien que les pourcentages aient diminué dans toutes les catégories, les risques restent notables :
- Les logiciels espions ont été bloqués sur 3,84 % des ordinateurs ICS (en baisse de 0,36 point de pourcentage).
- Les rançongiciels sont apparus sur 0,14 % des systèmes (en baisse de 0,02 point de pourcentage).
- Les mineurs exécutables ont été détectés sur 0,63 % des systèmes (en baisse de 0,15 point de pourcentage).
- Les mineurs web ont fortement reculé, à 0,30 %, leur plus bas niveau depuis le 2e trimestre 2022.
Les logiciels malveillants autoréplicatifs, comme les vers et les virus, ont également reculé, n’étant plus bloqués que sur un peu plus de 1 % des systèmes ICS. Les logiciels malveillants ciblant AutoCAD, souvent utilisés pour voler ou corrompre des fichiers de conception industrielle, ont chuté à 0,29 %, le niveau le plus bas enregistré depuis le 2e trimestre 2022.
Une tendance de fond
Si le recul des taux d’infection globaux témoigne de progrès dans la défense, la diversité des menaces — qui couvrent des milliers de familles de logiciels malveillants — démontre la persistance et la capacité d’adaptation des attaquants.
Les environnements ICS et OT restent attrayants, car ils sous-tendent les infrastructures critiques, l’industrie manufacturière, l’énergie et les opérations industrielles dans le monde entier. La hausse des attaques véhiculées par e-mail montre également que les attaquants continuent de se tourner vers l’ingénierie sociale et l’hameçonnage pour contourner les autres défenses techniques.
En outre, l’incident du ver Shai-Hulud de septembre 2025, qui a touché des paquets npm, montre à quelle vitesse des logiciels malveillants capables de se propager comme des vers peuvent se diffuser dans des écosystèmes lorsque les contrôles d’authentification et de publication sont faibles. Pour les systèmes industriels, où l’application de correctifs et les interruptions de service sont difficiles à gérer, les enjeux sont encore plus élevés.
Stratégies d’atténuation
Les équipes chargées de la défense au sein des organisations industrielles devraient envisager plusieurs mesures :
- Adopter des protections de messagerie résistantes à l’hameçonnage telles que la mise en bac à sable, l’analyse avancée des pièces jointes et l’authentification des domaines (DMARC, SPF, DKIM).
- Limiter l’exposition à Internet des actifs ICS et imposer une segmentation stricte du réseau entre les environnements OT et IT.
- Déployer des contrôles sur les supports amovibles et rechercher en continu les familles de logiciels malveillants associées aux vers et aux voleurs d’informations.
- Renforcer la surveillance et la visibilité au moyen de mécanismes de détection comportementale, de flux de renseignement sur les menaces et d’une détection des anomalies adaptée aux environnements ICS.
- Adopter des paramètres sécurisés par défaut pour l’authentification notamment l’authentification multifacteur (MFA) pour les interfaces de gestion à distance.
Les résultats de l’ICS CERT pour le 2e trimestre 2025 mettent en évidence un paradoxe : les taux d’infection globaux sont en baisse, mais les attaquants ne cessent d’innover par le biais des e-mails, des documents malveillants et de l’ingénierie sociale.
Pour les opérateurs d’infrastructures critiques, cela signifie qu’il ne faut pas relâcher la vigilance. Des stratégies de défense proactives — axées sur la résistance à l’hameçonnage, l’isolation d’Internet et une surveillance avancée — sont essentielles pour protéger les systèmes OT qui font fonctionner l’industrie moderne.