Dans une PME d’usinage de quarante salariés en Centre-Val de Loire, Marc, le responsable de production, a pris l’habitude d’une manipulation banale : transférer les programmes des pièces vers les machines à commande numérique avec une clé USB. Un matin, au moment où un technicien branche la clé sur un poste du bureau, l’antivirus se déclenche. La clé contient un logiciel malveillant.
La même clé avait été branchée la veille sur deux machines de l’atelier. Et ces machines sont pilotées par des ordinateurs sous Windows 7… Sécurité Off vous raconte les coulisses.
Un système que l’on ne peut pas simplement remplacer
Pour Marc, le problème était connu, mais toujours repoussé. Les logiciels qui pilotent ces machines ne fonctionnent que sous Windows 7. Les remplacer impliquerait de changer les machines elles-mêmes, ou d’obtenir de l’éditeur une version compatible qui n’existe pas. Un investissement hors de portée à court terme.
Or Windows 7 n’est plus maintenu : Microsoft a mis fin à son support étendu en janvier 2020, puis aux mises à jour de sécurité étendues payantes en janvier 2023. Depuis, aucune faille découverte n’est corrigée. Ces postes sont donc vulnérables par nature.
Le dirigeant nous a appelés avec une inquiétude simple : « Si on doit tout remplacer, on n’en a pas les moyens. Que peut-on faire ? »
Première étape : comprendre avant d’agir
Nous avons commencé par une visite de l’atelier et un inventaire : quelles machines, quels ordinateurs, quels logiciels, et surtout quels échanges entre eux. Nous avons vérifié les machines touchées par la clé : par chance, aucune trace d’infection n’a été relevée.
Mais l’inventaire a révélé plusieurs fragilités : les postes Windows 7 étaient sur le même réseau que la bureautique, certains avaient accès à Internet, un outil de prise en main à distance restait ouvert en permanence pour le fournisseur des machines, et les clés USB circulaient librement entre le bureau, l’atelier et le domicile.
Isoler ce que l’on ne peut pas mettre à jour
Puisque ces postes ne pouvaient pas être corrigés, l’objectif devenait de les protéger de l’extérieur. C’est le principe des mesures compensatoires :
- Séparer les réseaux : l’atelier a été placé sur un réseau distinct de la bureautique, avec un pare-feu qui n’autorise que les échanges strictement nécessaires.
- Couper l’accès à Internet des postes Windows 7, qui n’en avaient aucun besoin pour fonctionner. Cela n’a pas empêcher l’entreprise de travailler et en plus elle limite les risques d’infection.
- Encadrer la télémaintenance : l’accès du fournisseur n’est plus ouvert en permanence. Il est activé à sa demande, pour une durée limitée et sous supervision. La traçabilité est essentielle en cas de défaillance ou d’incident pour déterminer les responsabilités de chacun.
- Installer une station de décontamination : toute clé USB destinée à l’atelier est d’abord analysée sur un poste dédié. Les autres ports USB des machines sont désactivés quand c’est possible.
- Sauvegarder les postes de pilotage sous forme d’images complètes, pour pouvoir les restaurer rapidement en cas de panne ou d’attaque.
Côté bureau, des mesures classiques ont complété le dispositif : double authentification sur la messagerie et les comptes, sauvegardes externalisées testées et mises à jour automatiques.
Former l’atelier, pas seulement les bureaux
Nous avons animé deux sessions de sensibilisation courtes de 2 heures comme nous le faisons chez tous nos clients : une pour l’équipe administrative, une autre pour les opérateurs et les techniciens. Pour l’atelier, le message était concret : pourquoi on ne branche plus une clé personnelle sur une machine, comment utiliser la station de décontamination, et qui prévenir en cas de comportement anormal.
Quelques mois plus tard, un technicien d’un sous-traitant arrive avec sa propre clé pour une intervention. L’opérateur lui indique tout naturellement la station de décontamination. L’analyse révèle un fichier suspect, bloqué avant d’atteindre la machine.
Ce que cette histoire montre
Ces mesures ne rendent pas Windows 7 sûr : le risque demeure (Microsoft ne publie plus de correctifs), mais il est fortement réduit et maîtrisé puisque la machine est isolée. Et elles ont été mises en place sans remplacer une seule machine, en s’appuyant surtout sur la configuration du réseau, quelques règles claires et la formation des équipes.
L’entreprise a aussi gagné en visibilité : elle dispose désormais d’un inventaire, d’un plan de remplacement progressif à discuter avec son fournisseur, et d’éléments concrets à présenter à ses donneurs d’ordre, de plus en plus exigeants en matière de cybersécurité, dans le contexte de la directive NIS2.
Vous êtes industriel en Centre-Val de Loire ? Nos experts en cybersécurité et conformité vous aident à sécuriser vos équipements de production, même anciens, avec des solutions adaptées à vos contraintes. Contactez-nous pour un premier diagnostic.