TL;DR
Le pivot IT/OT désigne le franchissement de la frontière entre un réseau bureautique classique et les systèmes de contrôle industriel (ICS/SCADA) lors d’une intrusion. Ce n’est pas une vulnérabilité unique avec une CVE : c’est une technique de mouvement latéral qui exploite la convergence progressive des deux réseaux, des équipements dits « dual-homed » qui parlent les deux langages à la fois, et une segmentation souvent plus déclarative que réelle.
Référencée dans la matrice MITRE ATT&CK for ICS sous la tactique TA0109 (Lateral Movement), elle est aujourd’hui le point d’articulation commun de la quasi-totalité des attaques industrielles documentées. Le bilan 2026 de Dragos dénombre 119 groupes de rançongiciels ayant touché 3 300 organisations industrielles en 2025, avec une hausse de 49 % du nombre de groupes actifs.
Dans chaque incident majeur analysé, le franchissement de la frontière IT/OT s’est produit par le même mécanisme : un équipement situé des deux côtés de la limite, insuffisamment surveillé.
Dans la très grande majorité des environnements industriels, la séparation entre le réseau bureautique (IT) et le réseau de contrôle (OT) n’est plus absolue depuis au moins dix ans. La convergence a été progressive, souvent pragmatique, rarement planifiée dans ses implications sécuritaires : accès distant des techniciens de maintenance constructeurs, remontée des données de production vers des systèmes MES ou ERP, supervision SCADA accessible depuis un poste Windows sur le réseau d’entreprise. Chacune de ces décisions, prise isolément pour des raisons opérationnelles légitimes, a ouvert un chemin potentiel entre les deux mondes.
C’est sur ces chemins que repose le pivot IT/OT. La technique ne vise pas à exploiter une faille dans un automate ou un protocole industriel en première intention, elle exploite la frontière elle-même, plus précisément les équipements qui l’habitent et les règles de filtrage qui, sur le papier, la gardent.
Ce type d’intrusion est référencé dans deux matrices MITRE ATT&CK complémentaires : la matrice Enterprise pour la phase IT de l’attaque (accès initial, mouvement latéral classique, exploitation des services distants via T1210, de techniques de capture d’authentification comme le LLMNR/NBT-NS Poisoning, ou de l’élévation de privilèges), et la matrice MITRE ATT&CK for ICS pour la phase OT (tactique TA0109, Lateral Movement, et les techniques T0886 Remote Services, T0812 Default Credentials, T0859 Valid Accounts). Aucun des deux référentiels ne couvre à lui seul l’intégralité du chemin d’attaque, ce qui est précisément l’une des raisons pour lesquelles le pivot reste difficile à détecter.
Une technique aussi ancienne que la convergence IT/OT elle-même
Les premières attaques documentées ciblant des systèmes industriels via un réseau IT remontent aux années 2000. Stuxnet, découvert en 2010, a montré qu’un système de contrôle industriel physiquement isolé pouvait être atteint via des supports amovibles et des postes d’ingénierie Windows. Mais Stuxnet nécessitait un vecteur d’introduction physique précisément parce que la séparation IT/OT était encore souvent réelle à l’époque.
La situation a radicalement changé depuis. L’interconnexion croissante entre IT et OT augmente la surface d’attaque, et ouvre la porte à des scénarios comme les supply chain attacks qui ciblent précisément les composants logiciels partagés entre les deux environnements, tandis que l’obsolescence technologique de nombreux systèmes industriels, peu préparés aux menaces modernes, crée des portes d’entrée pour les groupes malveillants. Le bilan annuel 2026 de Dragos sur la cybersécurité OT indique que 119 groupes de rançongiciels ont touché 3 300 organisations industrielles en 2025, avec une hausse de 49 % du nombre de groupes suivis par rapport à 2024. Dans chaque incident majeur analysé sur cette période, le pivot s’est produit à la frontière IT/OT : les stations d’ingénierie, qui occupent les deux environnements simultanément et relient les réseaux d’entreprise aux automates de production, constituent le point de pivot le plus fréquemment exploité.
Le mécanisme : comment la frontière est franchie
Le modèle de Purdue et ses coutures
Le modèle de référence pour architecturer la séparation IT/OT est le modèle de Purdue, qui organise les systèmes industriels en niveaux allant du terrain physique (niveau 0, capteurs et actionneurs) jusqu’au réseau d’entreprise (niveaux 4 et 5). Deux zones se situent à la frontière : le niveau 3, qui regroupe les systèmes de supervision et de gestion de la production (historiens, stations d’ingénierie), et une DMZ industrielle (niveau 3,5) supposée filtrer les flux entre les deux mondes. Le franchissement de la frontière par un attaquant suit presque toujours le même chemin : non pas à travers la DMZ telle qu’elle a été conçue, mais par les équipements qui se trouvent naturellement des deux côtés, ceux que l’architecture n’a pas identifiés comme points de passage parce qu’ils n’ont pas été pensés comme tels.
Les trois catégories d’équipements-pivots
Les points de pivot en environnement industriel comprennent les historiens de données (qui font la translation entre les protocoles industriels OT et les bases de données IT), les stations d’ingénierie (qui exécutent un système d’exploitation Windows standard tout en exécutant des logiciels d’ingénierie spécifiques aux systèmes ICS), les passerelles de protocoles (qui traduisent entre Modbus et OPC-UA par exemple), et les convertisseurs série-vers-Ethernet qui relient des équipements hérités aux réseaux IP. Ces convertisseurs série-IP sont rarement mis à jour, souvent configurés avec les identifiants par défaut, et peuvent servir de points de pivot entre le SI classique et les réseaux OT. La plupart des inventaires d’actifs référencient les équipements par leur fonction (automate, IHM, historien) sans identifier lesquels agissent comme traducteurs de protocoles entre domaines de sécurité, ce manque permet aux attaquants de se déplacer latéralement entre domaines technologiques sans être détectés.
La chaîne d’exploitation type
Phase IT : accès initial et progression vers la frontière. L’accès initial sur le réseau bureautique emprunte les vecteurs classiques, campagne de phishing ciblée, exploitation d’une vulnérabilité sur un accès VPN exposé, ou compromission d’un compte de maintenance constructeur. Depuis ce premier accès, l’attaquant progresse latéralement, via des techniques comme le LLMNR/NBT-NS Poisoning pour capturer des credentials sur le réseau local, sur le réseau IT en direction des systèmes qui communiquent avec l’environnement industriel.
Identification de la frontière et des équipements-pivots. La phase de reconnaissance réseau sur le segment IT, conduite notamment via des outils de cartographie comme BloodHound, permet d’identifier les systèmes dont les adresses IP ou les règles de routage indiquent qu’ils communiquent avec des sous-réseaux distincts, typiquement des plages d’adresses associées à des VLAN industriels.
Franchissement de la frontière. L’historien de données se trouve à la frontière entre IT et OT. Il parle à la fois les protocoles du système d’exploitation d’entreprise et les protocoles industriels OT. C’est le point de pivot : l’équipement qui permet à la chaîne d’attaque de traverser d’une matrice à l’autre. Le franchissement lui-même exploite le plus souvent des services de gestion distante exposés sur cet équipement (RDP, VNC, SSH) avec des credentials valides obtenus lors de la phase IT, ou des identifiants par défaut jamais changés.
Progression dans le réseau OT. Une fois le réseau OT atteint depuis l’équipement-pivot, l’attaquant dispose d’un accès à un environnement radicalement différent : protocoles industriels (Modbus, DNP3, Profinet, OPC-UA), automates programmables (PLC), interfaces homme-machine (HMI), contrôleurs de sécurité. Un test de pénétration sur quatre identifie des identifiants par défaut dans les environnements industriels, ce qui rend la progression latérale dans le réseau OT souvent plus rapide que la phase IT, précisément parce que les équipements industriels n’ont pas été conçus avec une hypothèse d’attaquant actif sur leur réseau.
Conditions nécessaires à l’exploitation
Une segmentation IT/OT insuffisante ou contounée. La présence d’un pare-feu entre les deux réseaux ne suffit pas si ses règles de filtrage autorisent des flux trop larges, notamment des connexions RDP ou OPC-UA depuis des postes IT vers des équipements OT sans restriction d’adresse source ou de compte utilisateur. 65 % des environnements OT présentaient des conditions d’accès distant non sécurisées en 2024, et 45 % des organisations avec des environnements OT intensifs exposaient SSH vers des adresses routables sur internet (Forescout, 2025).
Des équipements dual-homed non identifiés comme tels. La plupart des inventaires d’actifs référencient les équipements par leur fonction sans identifier lesquels agissent comme traducteurs de protocoles entre domaines de sécurité. Ce manque permet aux attaquants de se déplacer latéralement entre domaines technologiques sans être détectés.
Des identifiants partagés entre les deux environnements. Un compte de service ou un compte d’administration utilisé à la fois sur le réseau IT et sur des équipements OT permet à un attaquant qui a compromis ses credentials côté IT de les rejouer directement côté OT, sans aucune étape d’exploitation supplémentaire.
Détection en mission
Cartographie des équipements dual-homed. La première étape d’une évaluation est systématiquement l’identification des équipements qui disposent d’interfaces sur plusieurs segments réseau distincts. Cette cartographie révèle régulièrement des équipements non référencés dans la documentation officielle de l’architecture, en particulier des stations d’ingénierie connectées simultanément au réseau bureautique et au réseau de contrôle via un second adaptateur réseau.
Analyse des flux réseau aux points de frontière. L’examen des règles de filtrage et des flux réellement autorisés entre les segments IT et OT révèle systématiquement des écarts entre la politique documentée et la configuration effective. Des connexions RDP depuis des postes bureautiques vers des HMI industriels, ou des flux OPC-UA non restreints par compte source, constituent des chemins d’exploitation directs.
Test de la réutilisation des credentials entre les deux environnements. Vérifier si des comptes obtenus lors de la phase IT permettent une authentification réussie sur des équipements OT, et si les identifiants par défaut des équipements industriels n’ont pas été modifiés lors de leur mise en service.
Évaluation de la capacité de détection sur le segment OT. Dans la grande majorité des environnements industriels, la supervision de sécurité (SIEM, journaux d’événements) ne s’étend pas au réseau OT. Les connexions, authentifications et commandes sur les équipements industriels ne génèrent aucune alerte. Cette absence de détection est elle-même un constat critique, indépendamment de toute exploitation technique.
Contre-mesures
Inventorier réellement les équipements dual-homed. Un équipement qui n’est pas identifié comme point de frontière ne peut pas être correctement surveillé. L’inventaire des actifs doit mentionner explicitement, pour chaque équipement, l’ensemble des interfaces réseau et des segments auxquels il appartient.
Durcir la DMZ industrielle par des règles explicitement restrictives. Les flux entre IT et OT doivent être définis par liste blanche, non par liste noire. Un historien de données ne doit accepter des connexions entrantes que depuis des adresses IP sources précises et pour des protocoles précis, jamais depuis l’ensemble d’un sous-réseau IT.
Supprimer le partage de credentials entre les deux environnements. Aucun compte ne doit être valide à la fois sur le réseau bureautique et sur des équipements industriels. Les comptes de service qui traversent la frontière doivent être strictement scopés à leurs fonctions, sans droits d’administration.
Changer systématiquement les identifiants par défaut. Tout équipement industriel mis en service doit faire l’objet d’un changement de ses identifiants constructeurs avant connexion au réseau, documenté dans la politique de mise en service.
Étendre la supervision de sécurité au réseau OT. La détection d’un pivot ne peut pas reposer uniquement sur les journaux du réseau IT. Une solution de supervision passive des protocoles industriels (OT-SIEM, sondes IDS industrielles capables d’analyser Modbus, DNP3, OPC-UA) est nécessaire pour détecter les comportements anormaux côté OT.
S’aligner sur le cadre réglementaire NIS 2. La directive NIS 2 industrielle impose aux entités essentielles et importantes une obligation de sécurisation de leurs réseaux OT, notamment la segmentation IT/OT et la gestion des accès distants. La mise en conformité s’appuie directement sur les contre-mesures décrites ci-dessus.
Appliquer le principe du moindre privilège aux accès distants constructeurs. Les accès VPN et RDP accordés aux prestataires de maintenance industrielle doivent être limités aux équipements concernés, activés ponctuellement, et révoqués après chaque intervention, plutôt que maintenus en accès permanent.
Votre frontière IT/OT résisterait-elle à un attaquant qui l’a déjà franchie dans d’autres environnements ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Non. Ce n’est pas une vulnérabilité au sens CVE du terme, mais une conséquence de la convergence progressive des deux réseaux et d’une segmentation insuffisante. Il n’existe pas de correctif : seule une architecture de réseau correctement conçue, avec des règles de filtrage effectives et des équipements-pivots identifiés et surveillés, permet de le contenir.
Ces deux techniques s’inscrivent dans des phases différentes de la même chaîne d’attaque. Le pivot IT/OT est le mécanisme de franchissement de la frontière entre les deux réseaux. L’exploitation d’un protocole industriel comme Modbus ou DNP3 intervient après ce franchissement, une fois que l’attaquant est déjà présent sur le réseau OT. MITRE ATT&CK for ICS couvre spécifiquement cette seconde phase.
Beaucoup plus difficile à atteindre, mais pas impossible. Stuxnet a démontré en 2010 qu’un réseau air-gapped pouvait être compromis via des supports amovibles et des postes d’ingénierie. Dans les environnements industriels actuels, le vrai air gap est très rare : la majorité des réseaux OT présentent au moins un point de connexion avec le réseau IT, souvent via un historien de données ou une solution de supervision.
Parce qu’il traverse deux périmètres de supervision différents qui ne se parlent généralement pas. La phase IT peut être détectée par le SIEM de l’entreprise, mais la phase OT est rarement couverte par des outils de supervision capables d’analyser les protocoles industriels. L’attaquant disparaît littéralement du radar de détection au moment où il franchit la frontière.
Oui, à condition que le périmètre de la mission soit explicitement défini pour inclure les deux couches et que les règles d’engagement précisent les systèmes OT testables. Ce type de mission requiert des compétences spécifiques sur les protocoles et équipements industriels, en complément des compétences IT classiques. C’est le cadre des missions de pentest industriel que nous menons, avec un périmètre et des règles d’engagement définis contractuellement.
Pivot IT/OT : mécanisme, équipements-pivots, détection et contre-mesures. Comment la convergence IT/OT crée des chemins d’attaque entre réseau bureautique et systèmes industriels.
