Des automates industriels qui en disent trop, sur Internet

Un automate programmable industriel n’est pas censé être joignable depuis Internet. Pourtant, il y en a, et ils parlent. Présentée à SecSea 2026 sous forme d’atelier, cette démonstration de reconnaissance montre que des automates exposés livrent encore leur version, leur configuration, et parfois des chemins Windows qui trahissent l’utilisateur et l’entreprise, jusqu’à des installations hydroélectriques. Le tout sur fond de signalements qui ne mènent pas toujours à un correctif.

Dixième volet de notre couverture de SecSea 2026. Un sujet industriel que nous traitons sous l’angle de l’exposition et de la défense, sans détailler de méthode offensive.

Un automate répond à des questions qu’on ne devrait pas pouvoir lui poser

Un automate industriel fonctionne par appels de fonctions : lire une zone mémoire, modifier une sortie. Sur certains équipements, des codes de fonction permettent non seulement de lire et d’écrire, mais aussi de demander le numéro de série, le nom de l’équipement et d’autres données qui, de l’aveu même de l’intervenant, ne devraient pas être accessibles ainsi. Pire, l’écriture dans une zone mémoire précise peut, sur certains modèles, faire tomber la machine, avec un redémarrage à effectuer physiquement sur place.

Le problème n’est pas théorique : un outil d’automatisation de scans permet d’interroger en masse ces équipements, et la recherche d’appareils exposés dans une version ancienne en remonte régulièrement, en France comme ailleurs.

Le détail qui transforme une fuite technique en fuite humaine

C’est le point le plus instructif. Les informations remontées par ces équipements contiennent parfois des chemins de fichiers Windows, hérités du logiciel d’ingénierie qui a généré le projet. Or un chemin Windows contient souvent le nom de l’utilisateur, et parfois celui de l’entreprise ou du prestataire.

Une donnée technique anodine devient du renseignement sur des personnes et des sociétés. Des répertoires de travail, un nom de prestataire, une spécialité : de quoi reconstituer qui opère quoi, à partir d’un automate que personne ne surveille.

Plusieurs de ces expositions semblaient liées à des installations hydroélectriques et à leurs intervenants. L’intervenant a été prudent sur l’attribution, rappelant que ces données sont exposées par les opérateurs ou prestataires eux-mêmes. Nous ne reprenons évidemment aucun nom.

Du PLC à l’interface de supervision

La seconde partie montrait comment un automate exposé ouvre la voie vers son interface de supervision web, souvent sur le port standard. En s’appuyant sur des éléments publics d’identification (l’empreinte d’un certificat, la signature d’une icône de site), on élargit une poignée de résultats à plusieurs centaines d’équipements du même type à travers le monde. Certaines de ces interfaces stockent des paramètres de communication, messagerie comprise, qui peuvent ouvrir un pivot vers l’infrastructure interne. Et l’intervenant a observé, après avoir montré la technique à des étudiants, l’apparition de défigurations sur une partie de ces interfaces, signe qu’une faiblesse d’injection traînait dans le nom des équipements.

Le signalement, et son inégalité désolante

Le talk s’est terminé sur un constat de terrain, et sur une morale défensive. Les signalements existent, mais les réactions sont d’une inégalité frappante : ici des équipements débranchés en deux jours, là un cas toujours accessible des mois plus tard, ailleurs des interlocuteurs qui jugent le sujet insuffisamment sérieux. Et l’intervenant a conclu sur ce qui compte vraiment à ses yeux : non pas trouver les failles, mais travailler la détection et les mesures de mitigation, le vrai rôle du hacker en sécurité.

Ce qu’on en retient chez Humanix

• Un équipement industriel n’a rien à faire directement sur Internet. La première mesure n’est pas un correctif, c’est de le retirer de la vue : segmentation, accès par réseau privé, suppression de toute exposition publique. C’est le meilleur rapport effort sur risque, et de loin.
• Vos équipements parlent, y compris de vos prestataires. Les métadonnées remontées par un automate, chemins de fichiers compris, sont du renseignement. Vérifiez ce que vos installations exposent, et ce que vos intégrateurs y laissent de leur propre organisation.
• La visibilité interne reste la clé. Là où l’on ne peut ni mettre à jour ni retirer un équipement, la détection réseau passive prend le relais. C’est exactement le propos de notre article sur la détection en environnement industriel.
• Trouver ne suffit pas, il faut détecter et mitiger. C’est la conclusion de l’intervenant, et notre conviction. Un audit utile ne s’arrête pas au constat, il outille la défense. La preuve avant le verdict.

Note. Compte-rendu, à visée de sensibilisation défensive, d’un atelier de SecSea 2026 sur l’exposition d’équipements industriels. Nous décrivons le problème d’exposition et ses contre-mesures, sans mode opératoire, sans mot de passe par défaut et sans nommer les organisations concernées. Dixième volet de notre couverture de l’événement. Des équipements industriels dont vous ignorez l’exposition ? Contactez-nous.