Dragos a recensé 1 140 incidents de rançongiciels affectant des organisations industrielles au T2 2026, soit une hausse de 12 % par rapport au T1. Ce constat révèle une évolution qu'il vaut la peine de comprendre : les rançongiciels ciblant les systèmes OT industriels prennent de plus en plus leur origine dans les systèmes informatiques d'entreprise qui soutiennent la technologie opérationnelle, plutôt que sur le plancher d'usine ou dans la salle de contrôle elle-même.

L'article source est bref, et ce billet s'en tient à ce qu'il énonce : le chiffre de 1 140, l'augmentation de 12 % d'un trimestre à l'autre, et l'observation selon laquelle les attaquants exploitent de plus en plus les systèmes d'entreprise qui sous-tendent l'OT. Là où nous allons au-delà, nous décrivons des pratiques de sécurité générales plutôt que de nouveaux constats.

Ce que Dragos a constaté au T2 2026

Selon Dragos, 1 140 incidents de rançongiciels ont affecté des organisations industrielles au deuxième trimestre 2026. C'est 12 % de plus que le premier trimestre. Le chiffre principal compte, mais le détail le plus utile est la direction de l'effort des attaquants : les systèmes d'entreprise qui soutiennent l'OT sont de plus en plus le point d'entrée.

Pour plus de détails sur les chiffres sous-jacents, consultez notre rapport complémentaire, Rançongiciels T2 2026 : 1 140 entreprises industrielles touchées via l'IT.

Comment les rançongiciels passent de l'IT bureautique vers l'OT

La technologie opérationnelle désigne le matériel et les logiciels qui font fonctionner des processus physiques, tels que les lignes de production, la distribution d'électricité et le traitement des eaux. L'IT est le monde familier du courriel, des serveurs de fichiers, des applications métier et des services cloud. Dans la plupart des organisations industrielles, les deux sont connectés, parce que les responsables ont besoin des données de production, les ingénieurs des fichiers de conception, et les fournisseurs d'un accès.

Ce sont ces connexions que les attaquants utilisent. Plutôt que d'attaquer directement les automates industriels, un groupe de rançongiciels peut s'introduire dans un système métier, voler des données ou chiffrer des serveurs, et créer suffisamment de perturbation pour que les opérations ralentissent ou s'arrêtent. Même lorsque les systèmes de contrôle ne sont jamais touchés, une entreprise peut arrêter une partie de sa production par précaution ou parce qu'elle ne peut plus planifier, expédier ou facturer.

C'est pourquoi la séparation IT/OT peut être trompeuse. Une usine peut disposer d'automates bien protégés et être néanmoins mise hors ligne par la compromission des systèmes qui les entourent.

Pourquoi les logiciels d'entreprise et les systèmes exposés sont le maillon faible

Le constat de Dragos met en lumière des attaquants qui exploitent les systèmes d'entreprise qui sous-tendent l'OT. Il s'agit généralement de grandes applications métier qui contiennent des données précieuses et sont souvent accessibles depuis Internet pour que les partenaires et le personnel à distance puissent les utiliser.

Un exemple concret est la campagne Clop contre les logiciels d'entreprise de gestion du cycle de vie des produits. Notre article sur le rançongiciel Clop frappant les systèmes PTC Windchill et FlexPLM décrit une campagne d'extorsion par vol de données visant des instances de ces plateformes exposées sur Internet. Ces systèmes stockent des conceptions de produits et des informations de fabrication, ce qui les rend attrayants pour les groupes d'extorsion même lorsqu'aucun système de production n'est chiffré.

L'exposition est aussi une question de failles connues non corrigées. Notre rapport sur l'ajout par la CISA de quatre failles à son catalogue des vulnérabilités exploitées connues montre avec quelle rapidité les vulnérabilités de produits d'entreprise et industriels largement utilisés peuvent passer de la divulgation à l'attaque active.

Ce que cela signifie pour vous

La plupart des lecteurs n'exploitent pas une usine ni un service public, mais beaucoup en dépendent. Lorsqu'une organisation industrielle est touchée, les effets peuvent se manifester par des livraisons retardées, des pénuries d'approvisionnement, des interruptions de service ou l'exposition de données personnelles. Les informations des clients et des employés détenues dans les systèmes d'entreprise peuvent également être volées lors de ces incidents.

Vous ne pouvez pas corriger le réseau d'un opérateur, mais vous pouvez réduire votre propre exposition en tant que client, employé ou fournisseur :

  • Si vous recevez une notification de violation de la part d'un fabricant ou d'un fournisseur de services, prenez-la au sérieux et suivez ses recommandations.
  • Utilisez des mots de passe uniques et l'authentification multifacteur sur les comptes liés à tout fournisseur industriel ou de services publics.
  • Soyez vigilant face aux hameçonnages qui font référence à un incident récent, car les données volées sont souvent réutilisées dans des arnaques de suivi.

Ce que les organisations peuvent faire : segmentation, sauvegardes, MFA

Pour ceux qui sont responsables d'environnements industriels, la tendance plaide en faveur du durcissement des points de connexion entre l'IT et l'OT. Il s'agit de mesures défensives standard, et non de nouveaux constats du rapport Dragos :

  • Segmentation : Séparez les réseaux métier des réseaux de contrôle, et limitez ce qui peut passer de l'un à l'autre. Si l'IT est compromise, la segmentation aide à tenir l'incident à l'écart des opérations.
  • Sauvegardes : Conservez des sauvegardes hors ligne ou autrement isolées des systèmes critiques, et testez leur restauration. Les sauvegardes ne sont utiles que si elles fonctionnent sous pression.
  • Authentification multifacteur : Exigez-la pour l'accès à distance et pour les comptes administratifs, en particulier sur les applications d'entreprise exposées sur Internet.
  • Mise à jour et revue de l'exposition : Identifiez quels systèmes d'entreprise sont accessibles depuis Internet, et priorisez les correctifs pour les failles connues comme exploitées.
  • Planification des incidents : Décidez à l'avance comment isoler les systèmes affectés et maintenir les opérations essentielles en fonctionnement.

À retenir

Le décompte de 1 140 incidents par Dragos au T2 2026 montre que les rançongiciels ciblant les systèmes OT industriels sont en croissance, et que le chemin d'entrée passe souvent par les logiciels d'entreprise qui les entourent. Prenez quelques minutes pour examiner votre propre exposition : activez l'authentification multifacteur, vérifiez que vos sauvegardes sont à jour et récupérables, et installez les mises à jour en attente. Pour des exemples concrets de la façon dont les faiblesses de l'IT deviennent un risque industriel, lisez notre couverture des données sur les rançongiciels industriels du T2 2026 et de la campagne Clop contre les logiciels PLM d'entreprise.