%3Aquality(100)&w=640&q=75){kind=logo}
L'exploitation assistée par l'IA atteint un record au niveau fédéral
La dernière note d'orientation énumère sept mesures de renforcement de la sécurité. Leur mise en œuvre relève de l'ingénierie ; la vérification de leur mise en œuvre relève de la coordination.
21 août 2026
·Blog
·Jay Goodman
%3Aquality(100)&w=3840&q=75)
Le 19 août 2026, l'Agence nationale de sécurité (NSA), la CISA, le FBI, le ministère de l'Énergie et l'Agence de protection de l'environnement (EPA) ont publié un avis conjoint sur la cybersécurité, référencé AA26-231A, concernant une menace active visant les automates programmables (PLC) de la série S7 de Siemens. La participation de l'EPA indique que les services des eaux constituent le public cible principal de cet avis.
Prochain webinaire : Ce que CI Fortify ne dit pas sur la communication
Il convient d’être précis quant au contenu des rapports d’alerte, car cette précision détermine les mesures que les opérateurs doivent prendre par la suite. Les organismes auteurs décrivent des activités de reconnaissance et de développement de capacités, et évaluent ces activités comme une reconnaissance persistante visant à préparer de futurs effets opérationnels. Ils font état d’un accès en lecture et en écriture à la mémoire des automates programmables (PLC), aux données de configuration et à la logique en échelle via le protocole S7comm. Ils ne signalent aucune interruption de service. Aucun service public n’est informé qu’il a déjà perdu le contrôle d’un processus. Les agences soulignent également que le ciblage des automates programmables (PLC) ne se limite pas à Siemens et que tous les propriétaires de PLC devraient mettre en œuvre les mesures d’atténuation appropriées.
La découverte qui bouleverse les calculs
Le détail important sur le plan opérationnel réside dans la manière dont cet outil est conçu. Selon le rapport AA26-231A , les acteurs malveillants associent des bibliothèques d'automatisation industrielle accessibles au public, notamment snap7.dll et python-snap7, à des scripts générés par l’IA pour produire des outils sur mesure qui imitent des logiciels légitimes de surveillance des technologies opérationnelles (OT). Les agences estiment que cela réduit considérablement l’expertise technique et le temps nécessaires au développement de scripts d’exploitation fonctionnels pour les systèmes de contrôle-commande (ICS). Cette activité correspond à la technique T1588.007 du modèle MITRE ATT&CK, intitulée « Obtenir des capacités : intelligence artificielle ».
Il convient de lire cela en parallèle avec la méthode de reconnaissance : des services commerciaux d'analyse d'Internet utilisés pour localiser des contrôleurs exposés ou insuffisamment segmentés. Ensemble, ces deux constatations décrivent un modèle de ciblage fondé sur l'exposition plutôt que sur les conséquences.
Conséquences sur la hiérarchisation des priorités en fonction des risques
La plupart des recommandations sectorielles et des registres des risques des services publics partent du principe que l’attention accordée par les attaquants est proportionnelle à l’ampleur des conséquences d’une attaque réussie. L’idée selon laquelle les petits services publics attirent moins l’attention a perduré, en grande partie parce que le secteur ne disposait pas de preuves tangibles permettant de la remettre en cause.
AA26-231A en apporte la preuve. Lorsque les ressources exposées peuvent être identifiées automatiquement et que des scripts d’exploitation sont générés à la demande, l’ajout d’un service supplémentaire à la liste des cibles ne représente pratiquement aucun coût. Un service desservant quarante mille personnes et géré par une équipe opérationnelle de trois personnes est aussi facile à repérer qu’une usine chimique disposant d’un effectif plus restreint pour intervenir.
Les vulnérabilités décrites dans ces recommandations seront familières à quiconque a déjà procédé à l'audit d'un petit système : des contrôleurs accessibles depuis des réseaux non fiables, une authentification par défaut ou configurée de manière minimale, et des intégrateurs tiers disposant d'un accès à distance dont le propriétaire de l'actif ignore peut-être l'existence. Les agences soulignent explicitement ce point, en avertissant que les propriétaires d'actifs peuvent ne pas se rendre compte que leurs systèmes sont exposés par l'intermédiaire de leurs prestataires de services.
La liste des mesures d'atténuation est un problème de coordination
Les sept mesures de renforcement de la sécurité sont relativement simples. Répertoriez tous les contrôleurs S7 et vérifiez que leur micrologiciel correspond à une copie dont le bon fonctionnement est avéré. Appliquez les correctifs en donnant la priorité aux appareils connectés à Internet et à ceux situés dans la zone DMZ. Bloquez le port TCP 102 au niveau du périmètre et vérifiez la segmentation. Limitez l'accès à la programmation aux postes de travail des ingénieurs autorisés. Activez la protection par mot de passe des appareils et les niveaux de protection. Désactivez les protocoles et les serveurs Web inutilisés. Contactez Siemens pour obtenir des conseils spécifiques à chaque modèle.
Confirmer que le travail a bien été effectué est un autre problème. Les recommandations invitent les organisations qui font appel à des intégrateurs de systèmes ou à des fournisseurs de services gérés à leur transmettre l’avis et à leur demander de le mettre en œuvre. Le document se termine par un appel à la coordination de la réponse entre les équipes de sécurité, d’ingénierie, de direction, d’exploitation des installations et d’assistance des fournisseurs. Il s’agit d’une exigence de responsabilité qui s’étend aux rôles internes et aux parties externes, dans un contexte de contrainte de temps, au sein d’organisations qui, bien souvent, ne disposent pas d’un registre unique faisant autorité indiquant qui est responsable de quel contrôleur.
La difficulté réside rarement dans la réalisation du travail en soi. Elle consiste plutôt à démontrer, plusieurs semaines plus tard, quelles mesures ont été prises, sur quels appareils et par qui. Les autorités de régulation, les conseils d'administration et les responsables de l'analyse a posteriori s'attendront à ce que ce relevé existe.
Sept mesures d'atténuation, une échéance et un intégrateur qui ne fait pas partie de votre personnel. L'ingénierie est bien définie. La responsabilité, elle, ne l'est pas — et c'est là qu'un petit service public risque de rater le coche.
Une précision concernant la conversation de réponse
Cette recommandation soulève également une question opérationnelle. Si un acteur dispose d’un accès en lecture à la mémoire et à la configuration d’un API dans un environnement donné, on part du principe, lors d’une opération de recherche, que certaines parties de cet environnement lui sont visibles. La discussion interne portant sur les éléments découverts, les appareils exposés et les changements à apporter ne devrait pas s’appuyer sur la même infrastructure. Les organisations doivent se demander si les discussions relatives à la réponse doivent avoir lieu sur la même infrastructure que celle faisant l’objet de l’enquête. Les outils de communication ne remédient pas directement aux vulnérabilités des API, mais ils peuvent faciliter la coordination de la réponse et la responsabilisation.
Où cela se situe-t-il par rapport à la détection ?
La norme AA26-231A recommande la mise en place d'un système de détection d'intrusion tenant compte de l'ICS et inclut des critères de recherche spécifiques, notamment une activité S7comm anormale sur le port 102 en dehors des fenêtres de maintenance, un comportement de balayage séquentiel et des processus Python important des bibliothèques snap7 sur les postes de travail d'ingénierie. La détection est une exigence opérationnelle distincte de la réponse. La détection permet d'identifier une activité. La coordination permet de déterminer si les mesures de réponse peuvent être exécutées, suivies et vérifiées.
Pour de nombreux services publics, cette dimension de responsabilité est gérée via une plateforme dédiée à la communication de crise et à la gestion des incidents. BlackBerry® AtHoc® assure ce deuxième niveau : une notification structurée avec accusé de réception et un suivi en boucle fermée entre les différents rôles internes et les prestataires de services sous contrat, générant ainsi un historique vérifiable indiquant qui a pris connaissance de quoi et à quel moment. Lorsqu’un scénario de continuité prévoit une coupure de la connectivité externe, cette fonctionnalité dépend du modèle de déploiement ; les options sur site et hybrides la prennent en charge, tandis que la plateforme est par défaut orientée « cloud d’abord ». BlackBerry® SecuSUITE® fournit le canal certifié hors bande de communication vocale et de messagerie pour la discussion décrite ci-dessus. Les deux solutions répondent aux besoins de la couche de coordination mise en avant dans la conclusion de l'avis.
Ce qu'il faut retenir
La note AA26-231A est concise, précise et permet d'apporter des réponses, et les sept mesures d'atténuation qu'elle énumère constituent une liste pertinente. Les opérateurs les plus exposés à l'activité qu'elle décrit sont également ceux qui sont les moins bien équipés pour démontrer qu'ils l'ont mise en œuvre. Il est peu probable que le prochain cycle de consultation, la prochaine procédure de révision tarifaire ou la prochaine enquête menée par l'État se concentre sur les intentions. L'accent sera mis sur ce qui peut être prouvé.
À lire également :
L'exploitation assistée par l'IA atteint un record au niveau fédéral
La dernière note d'orientation énumère sept mesures de renforcement de la sécurité. Leur mise en œuvre relève de l'ingénierie ; la vérification de leur mise en œuvre relève de la coordination.
21 août 2026
·Blog
·Jay Goodman
Le 19 août 2026, l'Agence nationale de sécurité (NSA), la CISA, le FBI, le ministère de l'Énergie et l'Agence de protection de l'environnement (EPA) ont publié un avis conjoint sur la cybersécurité, référencé AA26-231A, concernant une menace active visant les automates programmables (PLC) de la série S7 de Siemens. La participation de l'EPA indique que les services des eaux constituent le public cible principal de cet avis.
Prochain webinaire : Ce que CI Fortify ne dit pas sur la communication
Il convient d’être précis quant au contenu des rapports d’alerte, car cette précision détermine les mesures que les opérateurs doivent prendre par la suite. Les organismes auteurs décrivent des activités de reconnaissance et de développement de capacités, et évaluent ces activités comme une reconnaissance persistante visant à préparer de futurs effets opérationnels. Ils font état d’un accès en lecture et en écriture à la mémoire des automates programmables (PLC), aux données de configuration et à la logique en échelle via le protocole S7comm. Ils ne signalent aucune interruption de service. Aucun service public n’est informé qu’il a déjà perdu le contrôle d’un processus. Les agences soulignent également que le ciblage des automates programmables (PLC) ne se limite pas à Siemens et que tous les propriétaires de PLC devraient mettre en œuvre les mesures d’atténuation appropriées.
La découverte qui bouleverse les calculs
Le détail important sur le plan opérationnel réside dans la manière dont cet outil est conçu. Selon le rapport AA26-231A , les acteurs malveillants associent des bibliothèques d'automatisation industrielle accessibles au public, notamment snap7.dll et python-snap7, à des scripts générés par l’IA pour produire des outils sur mesure qui imitent des logiciels légitimes de surveillance des technologies opérationnelles (OT). Les agences estiment que cela réduit considérablement l’expertise technique et le temps nécessaires au développement de scripts d’exploitation fonctionnels pour les systèmes de contrôle-commande (ICS). Cette activité correspond à la technique T1588.007 du modèle MITRE ATT&CK, intitulée « Obtenir des capacités : intelligence artificielle ».
Il convient de lire cela en parallèle avec la méthode de reconnaissance : des services commerciaux d'analyse d'Internet utilisés pour localiser des contrôleurs exposés ou insuffisamment segmentés. Ensemble, ces deux constatations décrivent un modèle de ciblage fondé sur l'exposition plutôt que sur les conséquences.
Conséquences sur la hiérarchisation des priorités en fonction des risques
La plupart des recommandations sectorielles et des registres des risques des services publics partent du principe que l’attention accordée par les attaquants est proportionnelle à l’ampleur des conséquences d’une attaque réussie. L’idée selon laquelle les petits services publics attirent moins l’attention a perduré, en grande partie parce que le secteur ne disposait pas de preuves tangibles permettant de la remettre en cause.
AA26-231A en apporte la preuve. Lorsque les ressources exposées peuvent être identifiées automatiquement et que des scripts d’exploitation sont générés à la demande, l’ajout d’un service supplémentaire à la liste des cibles ne représente pratiquement aucun coût. Un service desservant quarante mille personnes et géré par une équipe opérationnelle de trois personnes est aussi facile à repérer qu’une usine chimique disposant d’un effectif plus restreint pour intervenir.
Les vulnérabilités décrites dans ces recommandations seront familières à quiconque a déjà procédé à l'audit d'un petit système : des contrôleurs accessibles depuis des réseaux non fiables, une authentification par défaut ou configurée de manière minimale, et des intégrateurs tiers disposant d'un accès à distance dont le propriétaire de l'actif ignore peut-être l'existence. Les agences soulignent explicitement ce point, en avertissant que les propriétaires d'actifs peuvent ne pas se rendre compte que leurs systèmes sont exposés par l'intermédiaire de leurs prestataires de services.
La liste des mesures d'atténuation est un problème de coordination
Les sept mesures de renforcement de la sécurité sont relativement simples. Répertoriez tous les contrôleurs S7 et vérifiez que leur micrologiciel correspond à une copie dont le bon fonctionnement est avéré. Appliquez les correctifs en donnant la priorité aux appareils connectés à Internet et à ceux situés dans la zone DMZ. Bloquez le port TCP 102 au niveau du périmètre et vérifiez la segmentation. Limitez l'accès à la programmation aux postes de travail des ingénieurs autorisés. Activez la protection par mot de passe des appareils et les niveaux de protection. Désactivez les protocoles et les serveurs Web inutilisés. Contactez Siemens pour obtenir des conseils spécifiques à chaque modèle.
Confirmer que le travail a bien été effectué est un autre problème. Les recommandations invitent les organisations qui font appel à des intégrateurs de systèmes ou à des fournisseurs de services gérés à leur transmettre l’avis et à leur demander de le mettre en œuvre. Le document se termine par un appel à la coordination de la réponse entre les équipes de sécurité, d’ingénierie, de direction, d’exploitation des installations et d’assistance des fournisseurs. Il s’agit d’une exigence de responsabilité qui s’étend aux rôles internes et aux parties externes, dans un contexte de contrainte de temps, au sein d’organisations qui, bien souvent, ne disposent pas d’un registre unique faisant autorité indiquant qui est responsable de quel contrôleur.
La difficulté réside rarement dans la réalisation du travail en soi. Elle consiste plutôt à démontrer, plusieurs semaines plus tard, quelles mesures ont été prises, sur quels appareils et par qui. Les autorités de régulation, les conseils d'administration et les responsables de l'analyse a posteriori s'attendront à ce que ce relevé existe.
Sept mesures d'atténuation, une échéance et un intégrateur qui ne fait pas partie de votre personnel. L'ingénierie est bien définie. La responsabilité, elle, ne l'est pas — et c'est là qu'un petit service public risque de rater le coche.
Une précision concernant la conversation de réponse
Cette recommandation soulève également une question opérationnelle. Si un acteur dispose d’un accès en lecture à la mémoire et à la configuration d’un API dans un environnement donné, on part du principe, lors d’une opération de recherche, que certaines parties de cet environnement lui sont visibles. La discussion interne portant sur les éléments découverts, les appareils exposés et les changements à apporter ne devrait pas s’appuyer sur la même infrastructure. Les organisations doivent se demander si les discussions relatives à la réponse doivent avoir lieu sur la même infrastructure que celle faisant l’objet de l’enquête. Les outils de communication ne remédient pas directement aux vulnérabilités des API, mais ils peuvent faciliter la coordination de la réponse et la responsabilisation.
Où cela se situe-t-il par rapport à la détection ?
La norme AA26-231A recommande la mise en place d'un système de détection d'intrusion tenant compte de l'ICS et inclut des critères de recherche spécifiques, notamment une activité S7comm anormale sur le port 102 en dehors des fenêtres de maintenance, un comportement de balayage séquentiel et des processus Python important des bibliothèques snap7 sur les postes de travail d'ingénierie. La détection est une exigence opérationnelle distincte de la réponse. La détection permet d'identifier une activité. La coordination permet de déterminer si les mesures de réponse peuvent être exécutées, suivies et vérifiées.
Pour de nombreux services publics, cette dimension de responsabilité est gérée via une plateforme dédiée à la communication de crise et à la gestion des incidents. BlackBerry® AtHoc® assure ce deuxième niveau : une notification structurée avec accusé de réception et un suivi en boucle fermée entre les différents rôles internes et les prestataires de services sous contrat, générant ainsi un historique vérifiable indiquant qui a pris connaissance de quoi et à quel moment. Lorsqu’un scénario de continuité prévoit une coupure de la connectivité externe, cette fonctionnalité dépend du modèle de déploiement ; les options sur site et hybrides la prennent en charge, tandis que la plateforme est par défaut orientée « cloud d’abord ». BlackBerry® SecuSUITE® fournit le canal certifié hors bande de communication vocale et de messagerie pour la discussion décrite ci-dessus. Les deux solutions répondent aux besoins de la couche de coordination mise en avant dans la conclusion de l'avis.
Ce qu'il faut retenir
La note AA26-231A est concise, précise et permet d'apporter des réponses, et les sept mesures d'atténuation qu'elle énumère constituent une liste pertinente. Les opérateurs les plus exposés à l'activité qu'elle décrit sont également ceux qui sont les moins bien équipés pour démontrer qu'ils l'ont mise en œuvre. Il est peu probable que le prochain cycle de consultation, la prochaine procédure de révision tarifaire ou la prochaine enquête menée par l'État se concentre sur les intentions. L'accent sera mis sur ce qui peut être prouvé.
À lire également :
%3Aquality(100)&w=3840&q=75)