Un SCADA est le système qui supervise et commande à distance des installations industrielles : il collecte les mesures des automates, affiche les alarmes et transmet les consignes. Sa sécurité est un enjeu physique, pas seulement informatique, car une attaque peut arrêter une production, endommager un équipement ou mettre des personnes en danger. Les attaques documentées passent le plus souvent par des mots de passe par défaut, des équipements exposés à internet ou le réseau bureautique, et la norme IEC 62443 sert de référence pour s'en protéger.
SCADA : définition et composants
SCADA signifie supervisory control and data acquisition, en français système de contrôle et d'acquisition de données. Les premiers systèmes sont apparus dans les années 1960 : pour la première fois, on pouvait actionner une vanne depuis un centre de contrôle plutôt que sur place. On les trouve dans les usines, les réseaux d'eau, la production et la distribution d'électricité, les canalisations de gaz et de pétrole ou les réseaux de chaleur. Un SCADA réunit :
- une interface homme-machine (IHM), qui présente les données à l'opérateur et lui permet de commander ;
- un système de supervision, qui acquiert les données et envoie les consignes ;
- des automates programmables (API, ou PLC en anglais) et des unités terminales distantes (RTU), qui pilotent le terrain ;
- une infrastructure de communication entre la supervision et le terrain ;
- une base de données et souvent un historique des mesures.
Le SCADA ne remplace pas l'opérateur : il sert surtout à la surveillance et aux alarmes, la décision restant humaine. Il se distingue du MES, qui suit les ordres de fabrication, la qualité et la traçabilité (voir notre guide Logiciel MES). Le guide de référence du NIST américain range les SCADA, comme les systèmes de contrôle distribués (DCS) et les automates, dans la technologie opérationnelle (OT), c'est-à-dire les systèmes qui agissent sur l'environnement physique.
Pourquoi un SCADA est vulnérable
L'ANSSI résume le problème : les systèmes industriels pilotent des procédés qui ont une action physique directe, certains utilisent des technologies informatiques sans avoir été conçus pour les menaces qu'elles introduisent, et les solutions de sécurité de l'informatique de gestion ne leur sont pas toujours adaptées. Les faiblesses qui reviennent dans les attaques documentées :
- les mots de passe par défaut, laissés en place sur les automates et les logiciels de supervision ;
- des équipements exposés directement à internet, avec leurs ports de communication d'origine ;
- le passage par le réseau bureautique : un courriel piégé ouvre l'accès au réseau de l'entreprise, puis au SCADA ;
- des automates anciens, aux protocoles mal documentés ou peu maintenus, et des systèmes d'exploitation obsolètes ;
- des accès physiques mal protégés, comme des clés laissées dans une position qui permet de modifier un équipement.
La convergence entre informatique et atelier multiplie ces points d'entrée. L'architecture des réseaux de l'usine est détaillée dans notre guide 5G et réseaux industriels.
Les attaques connues contre des systèmes de contrôle
Quatre cas publics montrent comment ces faiblesses sont exploitées :
- Stuxnet (découvert en juin 2010, traces remontant à juin 2009) : premier ver connu à espionner et reprogrammer des systèmes industriels. Il visait des automates Siemens et leur logiciel de supervision, utilisait les mots de passe par défaut et a touché environ 45 000 systèmes, dont 30 000 en Iran.
- Le réseau électrique ukrainien (23 décembre 2015) : après des courriels piégés sur le réseau de l'entreprise, les attaquants ont pris la main sur le SCADA de trois distributeurs, coupé des postes électriques à distance et détruit des équipements et des fichiers. Environ 230 000 personnes ont été privées d'électricité pendant une à six heures.
- Triton (2017) : sur un site pétrochimique en Arabie saoudite, un logiciel malveillant a visé le système instrumenté de sécurité, celui qui met l'installation en sécurité en cas de danger. Il a provoqué deux arrêts, en juin et en août 2017. Des clés physiques avaient été laissées dans une position qui permettait d'accéder au système.
- Les automates Unitronics (novembre 2023) : des attaquants liés à l'Iran ont pris la main sur des automates exposés à internet, protégés par le mot de passe par défaut ou par aucun mot de passe, dans des installations de traitement de l'eau aux États-Unis ; ces automates servent aussi dans l'énergie et l'agroalimentaire. L'avis des autorités américaines demande de changer les mots de passe par défaut, de déconnecter les automates d'internet et d'imposer l'authentification à plusieurs facteurs.
IEC 62443 : la norme de référence
La série de normes internationales IEC 62443 traite la sécurité des systèmes d'automatisation et de contrôle industriels. Issue des travaux du comité ISA99 de l'International Society of Automation, elle répartit les responsabilités entre trois rôles : l'exploitant, l'intégrateur et le fabricant. Deux notions la structurent :
- les zones et les conduits : le système est découpé en zones qui regroupent des équipements aux exigences de sécurité communes ; les conduits sont les liaisons, contrôlées, entre deux zones ;
- les niveaux de sécurité (security levels), fixés pour chaque zone par l'analyse de risques, de SL 1 (erreur ou mauvaise manipulation accidentelle) à SL 4 (attaque intentionnelle avec des moyens étendus et une connaissance poussée des systèmes industriels).
Ce découpage permet une défense en profondeur : une intrusion dans une zone ne donne pas accès aux autres. En France, l'ANSSI publie aussi une méthode de classification des systèmes industriels et un guide de mesures détaillées, mis à jour en 2025.
Protéger un SCADA : les mesures
Les mesures qui répondent directement aux attaques décrites plus haut :
1. Faire l'inventaire des automates, postes de supervision, IHM, liaisons et accès distants : on ne protège pas ce qu'on ne connaît pas.
2. Changer tous les mots de passe par défaut, sur les automates comme sur les logiciels.
3. Ne rien exposer directement à internet ; passer les accès distants et la télémaintenance par un point d'entrée unique, contrôlé, avec authentification à plusieurs facteurs.
4. Séparer le réseau de l'atelier du réseau bureautique et découper l'atelier en zones, avec des flux autorisés un par un entre elles.
5. Surveiller le réseau industriel pour repérer les échanges inhabituels, et journaliser les modifications des automates.
6. Sauvegarder les programmes des automates et les configurations, et tester leur restauration.
7. Planifier les mises à jour avec la production, et protéger autrement ce qui ne peut pas être mis à jour.
8. Protéger l'accès physique aux armoires, aux clés et aux ports des équipements.
9. Former les équipes de l'atelier et de la maintenance, car beaucoup d'attaques commencent par un courriel ou une clé USB.
Ce qu'en disent les industriels à Tech for Industry Show
À Tech for Industry Show 2026, à Paris Expo Porte de Versailles :
- Velotic, éditeur de logiciels de supervision et de MES, a montré une couche d'analyse par IA placée au-dessus du SCADA, sans le remplacer : lors d'un incident, un SCADA peut produire des dizaines, voire des centaines d'alarmes par minute, et l'outil les regroupe et repère les corrélations entre elles. L'intervenant a aussi alerté sur l'empoisonnement des données : des mesures de production faussées peuvent orienter les décisions d'un système d'IA, ce qui fait de la qualité des données une question de sécurité. Lire l'article
- Exotec a détaillé la résilience de ses entrepôts robotisés : un système de secours qui prend le relais automatiquement si le système principal tombe, une surveillance continue depuis trois centres de contrôle en France, aux États-Unis et au Japon, et une sauvegarde en temps réel de l'état des stocks pour restaurer l'entrepôt tel qu'il était juste avant un sinistre. Lire l'article
La conférence de Velotic est à revoir en replay : Opérationnaliser l'IA dans l'environnement de production.
Sécurité SCADA et réglementation
La protection technique d'un SCADA répond aussi à des obligations. La directive européenne NIS2 impose aux industriels concernés des mesures de gestion des risques sur l'ensemble de leurs systèmes, ateliers compris, et la notification des incidents graves sous 24 heures. Qui est concerné, quelles obligations et où en est la loi française : voir notre guide NIS2 et industrie.
Questions fréquentes
Que signifie SCADA ?
Supervisory control and data acquisition, soit système de contrôle et d'acquisition de données : le système qui supervise et commande à distance des installations industrielles.
Quelle différence entre SCADA et automate ?
L'automate (API ou PLC) pilote directement une machine ou un procédé sur le terrain. Le SCADA supervise un ensemble d'automates : il collecte leurs données, affiche les alarmes et transmet les consignes de l'opérateur.
Quelle différence entre SCADA et MES ?
Le SCADA supervise les machines et leurs alarmes, en temps réel. Le MES suit les ordres de fabrication, la qualité et la traçabilité.
Qu'est-ce que la cybersécurité industrielle ?
La protection des systèmes qui pilotent des procédés physiques (automates, SCADA, systèmes de sécurité), où une attaque peut toucher les personnes, les équipements ou l'environnement, et pas seulement les données.
Quelle norme pour sécuriser un SCADA ?
La série IEC 62443, qui découpe le système en zones et conduits et fixe un niveau de sécurité par zone. En France, l'ANSSI publie aussi une méthode de classification des systèmes industriels.
Quelle est la première mesure à prendre ?
Faire l'inventaire des équipements et des accès, puis changer les mots de passe par défaut et retirer d'internet tout ce qui y est exposé directement : ce sont les faiblesses exploitées dans plusieurs attaques connues.
