Cyberattaques contre les automates programmables Rockwell Automation en 2026 : Leçons pour les utilisateurs de systèmes existants
July 28, 2026Le plus important incident de sécurité des technologies opérationnelles (TO) de 2026 s'est déroulé sur six semaines ce printemps. Entre mars et mi-avril, des pirates informatiques iraniens ont systématiquement ciblé près de 4 000 automates programmables industriels (API) Rockwell Automation et Allen-Bradley exposés sur Internet, déployés au sein des infrastructures critiques américaines. Cette campagne a entraîné la publication d'un avis conjoint des autorités fédérales (CISA, FBI, NSA, DOE, EPA et Cyber Command) le 7 avril, suivi d'un rapport d'exposition de Censys le 10 avril.
Les ingénieurs exploitant d'anciens systèmes Rockwell (SLC 500, PLC-5, MicroLogix plus anciens) doivent être vigilants. Cette attaque était en préparation depuis des années.
Mars 2026. Les menaces iraniennes contre les infrastructures critiques américaines s'intensifient fortement. Des attaquants affiliés à deux groupes principaux, CyberAv3ngers (lié aux Gardiens de la révolution iraniens) et Handala (lié au MOIS), entreprennent une reconnaissance systématique des dispositifs de contrôle industriels connectés à Internet. Leur cible : les automates programmables industriels (API) de Rockwell Automation exposés sur le port 44818 via EtherNet/IP.
Le 7 avril, la CISA, le FBI, la NSA, le DOE, l'EPA et le Cyber Command américain ont publié un avis conjoint confirmant que des attaquants avaient extrait des fichiers de projet à partir d'appareils compromis, manipulé les interfaces homme-machine et les systèmes SCADA, et déployé un logiciel malveillant de type « wipe ». Au moins une station de traitement des eaux a dû fonctionner manuellement après avoir perdu le contrôle de son automate programmable.
Le 10 avril, Censys a publié des données d'exposition montrant que 5 219 hôtes dans le monde ont été identifiés comme des périphériques Rockwell ou Allen-Bradley accessibles via EtherNet/IP, dont environ 3 900 aux États-Unis. La grande majorité était simplement connectée à Internet avec les paramètres par défaut.
Les attaquants n'ont pas exploité de failles zero-day. Ils ont utilisé Shodan et Censys pour localiser des automates programmables industriels (API) de marque Rockwell sur Internet, puis ont tenté d'exploiter les identifiants par défaut et les commandes EtherNet/IP directes.
Tout automate programmable Rockwell Automation ou Allen-Bradley doté d'une connectivité Ethernet et exposé à Internet était une cible potentielle. Parmi les modèles concernés figuraient le ControlLogix (série 1756, modèle phare largement déployé dans les infrastructures critiques), le CompactLogix (séries 1769, 5370 et 5380, courantes dans les moyennes entreprises manufacturières et les services publics), le MicroLogix (séries 1100 et 1400, plus anciennes et largement utilisées dans les petites installations et les sites distants), le SLC 500 avec Ethernet (conçu dans les années 1990 sans fonctionnalités de sécurité significatives) et le PLC-5 avec Ethernet (une conception des années 1980 encore en service dans les secteurs du pétrole et du gaz, de l'eau et de l'industrie lourde).
Les attaquants n'avaient pas besoin de capacités avancées. EtherNet/IP met en œuvre une authentification minimale par conception, et de nombreux sites n'avaient jamais modifié leurs mots de passe par défaut, désactivé les services CIP inutilisés ni ajouté de pare-feu entre leurs automates programmables et le réseau de l'opérateur.
La campagne Rockwell 2026 révèle une vulnérabilité structurelle ignorée pendant vingt ans. Des centaines, voire des milliers, de systèmes SLC 500 et MicroLogix sont toujours en service dans les usines de traitement des eaux, les centrales énergétiques et les usines américaines. Ces automates ont été conçus avant même l'avènement des automates programmables connectés à Internet. Ils ne disposent ni d'authentification cryptographique, ni de démarrage sécurisé, ni de contrôle d'accès basé sur les rôles, et souvent d'aucun mécanisme de mise à jour du micrologiciel.
Il est impossible de modifier un PLC-5. Aucune mise à jour ne permet d'ajouter le chiffrement au pont série-Ethernet d'un SLC 500. Ces appareils sont conçus de manière permanente.
Cela crée une échéance impérative. La directive européenne NIS2 exige la mise en conformité d'ici octobre 2026, sous peine d'amendes importantes, et couvre explicitement les systèmes OT. Bien que les États-Unis ne disposent pas d'une réglementation unique équivalente, les mandats sectoriels de la TSA, du DOE et de l'EPA vont dans le même sens. Les installations utilisant des automates programmables industriels (API) anciens exposés à Internet sont de plus en plus souvent en infraction, et c'était déjà le cas avant que les groupes APT iraniens ne commencent à identifier leurs contrôleurs par empreinte numérique.
L’avis conjoint du 7 avril indique clairement que les agences fédérales considèrent désormais ces dispositifs comme un vecteur actif de sécurité nationale.
Étape 1 : Auditez tous les automates programmables de votre réseau. Utilisez Shodan, Censys ou des outils de découverte d’actifs OT (Dragos, Nozomi, Claroty) pour identifier chaque appareil Rockwell sur vos plages d’adresses IP publiques. Lors de l’analyse Censys, la plupart des appareils exposés ne l’étaient pas intentionnellement. Ils se trouvaient derrière des pare-feu mal configurés ou étaient connectés pour le dépannage à distance et n’avaient jamais été déconnectés.
Étape 2 : Isoler les automates programmables de l’Internet public. Placer chaque automate Rockwell accessible sur le port 44818 derrière un pare-feu correctement configuré. Pour l’accès à distance, utiliser un modem cellulaire avec VPN, et non une connexion Ethernet directe. Isoler physiquement les contrôleurs critiques lorsque cela est possible.
Étape 3 : Mettez à niveau lorsque cela est possible. Les contrôleurs plus récents des séries CompactLogix 5380 et 5480 offrent l’authentification des emplacements de confiance, des extensions de sécurité CIP et la vérification de l’intégrité du micrologiciel.
Étape 4 : Pour les plateformes véritablement anciennes telles que SLC 500 et PLC-5, il est impératif d’accepter qu’aucune mise à jour ne soit possible. Trois options s’offrent à vous. La segmentation du réseau avec des passerelles unidirectionnelles utilise des diodes de données ou des passerelles unidirectionnelles pour autoriser le trafic de surveillance sortant tout en empêchant les commandes entrantes d’atteindre le contrôleur. La migration vers une plateforme plus récente s’appuie sur les programmes de migration de Rockwell pour SLC 500 vers CompactLogix et PLC-5 vers ControlLogix. Ces programmes sont éprouvés, mais nécessitent une planification des interruptions de service. Si la migration n’est pas immédiate, un renforcement de la sécurité est possible : modifier tous les mots de passe par défaut, désactiver les services EtherNet/IP inutilisés, restreindre l’accès via des listes de contrôle d’accès (ACL) et surveiller le trafic EtherNet/IP afin de détecter les commandes anormales.
Aucune de ces solutions n'est parfaite. Mais n'importe laquelle vaut mieux que de voir un groupe APT iranien extraire vos fichiers de projet et écraser le firmware de votre contrôleur à 2 heures du matin un samedi.
Alors que les installations s'efforcent de sécuriser ou de migrer leurs systèmes Rockwell vieillissants, la demande augmente pour les modules ControlLogix et CompactLogix de rechange (séries 1756 et 1769) destinés au remplacement d'unités potentiellement compromises, les dispositifs de sécurité Ethernet (dispositifs d'injection qui ajoutent l'authentification et l'inspection du trafic sans modification du micrologiciel du contrôleur), les kits de migration des systèmes existants vers les systèmes actuels (adaptateurs, châssis et alimentations pour les conversions SLC 500 vers CompactLogix) et les modules Allen-Bradley difficiles à trouver pour les installations qui conservent des pièces de rechange existantes lors de migrations pluriannuelles.
L'inventaire de TZTechio, allant des CompactLogix série 5380 actuels aux E/S 1746 et 1771 plus anciennes, couvre cette gamme. Lorsqu'une station d'épuration a besoin d'un 1756-L73 d'ici mercredi, la disponibilité est cruciale.
La campagne Rockwell de 2026 n'est pas un cas isolé. Elle s'inscrit dans une série d'incidents liés à OT qui se sont intensifiés depuis 2023.
Les attaques contre Unitronics (2023-2024), attribuées à l'Iran, visaient des automates programmables industriels (API) Unitronics de fabrication israélienne utilisés dans les réseaux de distribution d'eau américains. Le mode opératoire était le même : analyses Shodan, utilisation d'identifiants par défaut et prise de contrôle. L'effacement de données de 80 000 appareils Stryker (mars 2026), survenu quelques semaines avant la campagne Rockwell, a touché 80 000 terminaux d'infrastructures de dispositifs médicaux. Bien qu'il ne s'agisse pas d'un incident lié aux technologies opérationnelles (TO), cet événement a démontré que les parcs d'équipements critiques pour la sécurité sont particulièrement vulnérables. L'échéance de la norme NIS2 (octobre 2026) contraint les États membres de l'UE à se conformer aux exigences en matière de déclaration obligatoire des incidents, de sécurité de la chaîne d'approvisionnement et de gestion des risques liés aux TO. Une impulsion réglementaire américaine suivra en 2027.
Les attaquants ont constaté que les systèmes de contrôle industriels constituent le maillon faible des infrastructures critiques. La campagne Rockwell de 2026 prouve qu'il n'est pas nécessaire de disposer de ressources étatiques pour compromettre la plupart des automates programmables industriels (API). Une simple requête Shodan et la volonté de tester les mots de passe par défaut suffisent.
Pour toute personne responsable d'un système Rockwell existant, il est temps d'agir. Auditez vos contrôleurs. Déconnectez-les d'Internet. Si vous ne pouvez pas les protéger, migrez-les avant que quelqu'un d'autre ne le fasse à votre place.
---
*Sources : Avis conjoint CISA/FBI/NSA/DOE/EPA/Commandement cybernétique des États-Unis, 7 avril 2026 ; Rapport de recherche Censys, 10 avril 2026 ; BleepingComputer ; CNN ; Defense One. Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil en matière de cybersécurité ou de conformité. Veuillez consulter des professionnels qualifiés pour obtenir des conseils adaptés à votre environnement.*
Continuez à lire, restez informé, abonnez-vous et nous vous invitons à nous dire ce que vous en pensez.
De plus, avec votre autorisation, nous souhaitons placer des cookies pour rendre votre visite et votre interaction avec slOC plus personnelles. Pour cela, nous utilisons des cookies analytiques et publicitaires. Grâce à ces cookies, nous et des tiers pouvons suivre et collecter votre comportement Internet à l'intérieur et à l'extérieur de super-instrument.com. Grâce à cela, nous et des tiers adaptons super-instrument.com et les publicités à vos intérêts. En cliquant sur Accepter, vous acceptez cela. Si vous refusez, nous utilisons uniquement les cookies nécessaires et vous ne recevrez malheureusement aucun contenu personnalisé. Veuillez consulter notre politique en matière de cookies pour plus d'informations ou pour modifier votre consentement à l'avenir.
Accept and continue Decline cookies
