Le rapport Dragos 2026 : pourquoi il va tout changer

Certains rapports en cybersécurité ne font que confirmer ce que nous savions déjà. Celui-ci met en lumière une réalité inédite.

Le rapport Dragos 2026 sur la cybersécurité OT/ICS, publié le 17 février 2026, marque la neuvième année d’analyse approfondie des menaces pesant sur l’industrie et les infrastructures critiques. Mais les conclusions de cette année ne sont pas de simples évolutions. Elles traduisent un changement structurel dans la façon dont les adversaires abordent les environnements technologiques opérationnels — et ce que cela implique pour la sécurité des données, la confidentialité et la conformité réglementaire.

Le constat principal est simple et inquiétant : les adversaires ne se contentent plus d’accéder aux systèmes pour attendre. Ils cartographient activement les boucles de régulation, comprennent le fonctionnement des processus industriels et se positionnent pour provoquer des effets physiques.

Ce n’est plus de la reconnaissance. C’est une préparation à la perturbation opérationnelle.

5 points clés à retenir

1. Les adversaires sont passés de la reconnaissance à la cartographie des boucles de régulation. Le rapport Dragos 2026 met en évidence un changement fondamental dans l’approche des acteurs malveillants vis-à-vis des environnements industriels. KAMACITE a systématiquement cartographié les boucles de régulation à travers les infrastructures américaines tout au long de 2025, tandis qu’ELECTRUM a ciblé les systèmes énergétiques distribués en Pologne en tentant délibérément d’impacter les actifs opérationnels. Les adversaires ne se contentent plus d’obtenir un accès — ils apprennent comment les commandes sont générées, comment elles circulent dans les systèmes et où des effets physiques peuvent être provoqués. On assiste à une évolution du simple point d’appui passif vers une compréhension active du fonctionnement opérationnel.
2. Trois nouveaux groupes de menaces sont apparus — et ils fonctionnent comme des écosystèmes coordonnés. Dragos a identifié trois nouveaux groupes en 2025 : SYLVANITE, PYROXENE et AZURITE. SYLVANITE, en particulier, agit comme courtier d’accès, exploitant rapidement les vulnérabilités des produits Ivanti, F5, SAP et ConnectWise, puis transmettant les accès établis à VOLTZITE pour des intrusions OT plus poussées. PYROXENE a déployé des malwares destructeurs de type wiper contre des infrastructures critiques lors de conflits régionaux. AZURITE a montré des similitudes opérationnelles avec Flax Typhoon et mené des opérations soutenues aux États-Unis, en Europe et en Asie-Pacifique. Ce modèle d’écosystème — des spécialistes ouvrant la voie à des adversaires plus expérimentés — est désormais la norme opérationnelle dominante.
3. Les groupes de ransomware capables d’atteindre l’OT ont augmenté de 49 % en un an. Les attaques par ransomware visant les organisations industrielles ont bondi de 49 % en 2025, affectant 3 300 organisations dans le monde. Mais le véritable enjeu est la perturbation opérationnelle. Le ransomware ne concerne plus « uniquement l’IT » — il provoque des interruptions de plusieurs jours nécessitant une reprise spécifique à l’OT. Les organisations continuent de sous-estimer considérablement l’impact du ransomware sur les environnements opérationnels, car elles classent à tort les incidents comme relevant uniquement de l’IT, ignorant les conséquences sur les systèmes de production, les dispositifs de sécurité et les processus physiques.
4. La visibilité fait toute la différence — 5 jours contre 42 jours pour détecter une attaque. Les organisations bénéficiant d’une visibilité OT détectent et contiennent les incidents de ransomware OT en moyenne en 5 jours. La moyenne du secteur ? 42 jours. Ce n’est pas une simple amélioration — c’est la différence entre un incident maîtrisé et une catastrophe. Le niveau de maturité en détection est directement lié au succès de la réponse, mais moins de 10 % des réseaux OT disposent de la visibilité nécessaire pour détecter la reconnaissance, les mouvements latéraux et l’exfiltration de données avant que les adversaires n’atteignent leurs objectifs.
5. VOLTZITE a atteint l’étape 2 de la Cyber Kill Chain ICS. Dragos a placé VOLTZITE au stade 2 de la Cyber Kill Chain ICS après avoir observé le groupe manipuler des logiciels de postes d’ingénierie pour extraire des fichiers de configuration et des données d’alarme. Le groupe a spécifiquement analysé quelles conditions opérationnelles déclencheraient l’arrêt des processus. Dans un cas, VOLTZITE a compromis des passerelles cellulaires Sierra Wireless Airlink pour accéder aux opérations de pipelines américains, puis s’est déplacé vers des postes d’ingénierie. VOLTZITE présente des similitudes techniques avec Volt Typhoon — le groupe que les services de renseignement américains soupçonnent de se positionner pour perturber des infrastructures critiques.

Cartographie des boucles de régulation : comprendre la menace

Pour comprendre l’importance de la cartographie des boucles de régulation, il faut savoir ce qu’est une boucle de régulation.

Dans les environnements industriels, une boucle de régulation est un ensemble de dispositifs et de logiciels qui mesurent une variable physique — température, pression, débit, niveau — la comparent à une consigne, puis actionnent des équipements pour modifier le processus. Un thermostat qui contrôle une chaudière est une boucle de régulation simple. Une raffinerie qui gère des centaines de processus interconnectés en compte des milliers.

Quand les adversaires cartographient ces boucles, ils apprennent la logique opérationnelle d’un site. Ils identifient quels capteurs alimentent quels contrôleurs. Ils comprennent quels seuils déclenchent des alarmes ou des arrêts automatiques. Ils découvrent comment manipuler des mesures ou des commandes pour obtenir des effets physiques précis.

KAMACITE a passé l’année 2025 à faire exactement cela sur les infrastructures américaines. ELECTRUM a ciblé les systèmes énergétiques distribués en Pologne en tentant d’impacter les actifs opérationnels. VOLTZITE a extrait des fichiers de configuration et des données d’alarme depuis des postes d’ingénierie, analysant précisément les conditions déclenchant l’arrêt des processus.

Ce n’est pas une capacité théorique. C’est une activité opérationnelle documentée.

Le modèle écosystémique : des spécialistes qui se relaient

L’un des constats majeurs du rapport Dragos est l’émergence d’écosystèmes de menaces coordonnés, où des groupes se spécialisent dans différentes phases d’une attaque.

SYLVANITE illustre ce modèle. Le groupe se concentre sur l’exploitation rapide des vulnérabilités de systèmes exposés à Internet — Ivanti, F5, SAP, ConnectWise. Dans un cas, SYLVANITE a exploité les failles VPN d’Ivanti en moins de 48 heures après leur divulgation. Le groupe utilise des outils standards comme Cobalt Strike et Sliver, établit une persistance, puis transmet l’accès à VOLTZITE pour des intrusions OT plus profondes.

Cette division du travail a des conséquences majeures. L’accès initial et les opérations OT sont désormais des spécialisations distinctes. Se défendre contre la compromission initiale ne suffit plus — un autre groupe peut hériter de l’accès. L’attribution des attaques devient également plus complexe, car le groupe qui obtient l’accès n’est pas nécessairement celui qui provoque l’impact opérationnel.

L’incident de mai 2025 dans une entreprise américaine illustre ce modèle. SYLVANITE a exploité des vulnérabilités Ivanti Endpoint Manager Mobile pour extraire des informations LDAP et des tokens Office 365 depuis la base de données. Ces identifiants ont été réutilisés en interne pour des mouvements latéraux. Le courtier d’accès a établi le point d’appui ; des acteurs plus expérimentés l’ont exploité.

La progression de 49 % du ransomware dans les environnements OT

Les attaques par ransomware visant les organisations industrielles ont progressé de 49 % en 2025, touchant 3 300 organisations dans le monde. Dragos a recensé 119 groupes de ransomware capables d’impacter les environnements opérationnels.

Mais le volume n’est pas le vrai sujet. C’est la perturbation opérationnelle qui compte.

En 2025, les incidents de ransomware industriels ont de plus en plus provoqué des interruptions de plusieurs jours nécessitant une reprise spécifique à l’OT. Lorsqu’un ransomware chiffre un poste d’ingénierie, l’organisation ne peut pas simplement réinstaller la machine et repartir. Elle doit vérifier que la configuration des systèmes de contrôle n’a pas été modifiée. Elle doit s’assurer que les dispositifs de sécurité fonctionnent correctement. Elle doit valider que les processus de production sont opérationnels avant de relancer les systèmes.

C’est là que l’observation du CEO de Dragos, Robert Lee, prend tout son sens : « Les organisations industrielles sous-estiment largement la portée du ransomware dans les environnements OT, car elles pensent que cela ne concerne que l’IT. »

Le problème de classification est structurel. Lorsque des intervenants sans expertise OT enquêtent sur une attaque par ransomware, ils ne perçoivent pas toujours les implications opérationnelles. Ils peuvent restaurer les systèmes IT et considérer l’incident comme résolu, sans voir que des données de production ont été corrompues, que des postes d’ingénierie ont été compromis ou que la configuration des dispositifs de sécurité a été modifiée.

Le délai moyen de détection de 42 jours cité par Dragos pour le secteur n’est pas seulement un problème de détection. C’est un problème de visibilité. Les organisations ne peuvent pas détecter ce qu’elles ne voient pas — et la plupart des réseaux OT manquent de supervision, d’inventaire des actifs et de télémétrie pour identifier une compromission avant qu’elle n’ait un impact opérationnel.

Le déficit de visibilité : ce qui manque à la plupart des organisations

Moins de 10 % des réseaux OT disposent d’une visibilité et d’une supervision suffisantes.

Ce chiffre explique à lui seul pourquoi le délai moyen de détection dans le secteur est de 42 jours, alors que les organisations dotées d’une visibilité OT contiennent les incidents en 5 jours. La différence ne tient ni au talent ni à la technologie choisie. Tout dépend de la capacité à voir ce qui se passe dans son environnement.

Le rapport Dragos identifie plusieurs catégories de données ciblées par les adversaires dans les environnements OT :

Fichiers de projets d’ingénierie : plans CAO, spécifications de conception et documents d’architecture système révélant la construction des installations et l’interconnexion des processus.

Données d’alarme et seuils : informations sur les conditions déclenchant des alertes, des arrêts automatiques ou l’activation des dispositifs de sécurité — des connaissances essentielles pour un attaquant cherchant à manipuler les processus sans être détecté.

Fichiers de configuration et sauvegardes : configurations HMI/SCADA, programmation des automates (PLC) et sauvegardes système contenant la logique opérationnelle des processus industriels.

Informations sur les opérateurs : identifiants, plannings, droits d’accès et historiques d’activité pouvant servir à l’ingénierie sociale, à l’élévation de privilèges ou à déterminer le meilleur moment pour attaquer.

Schémas SIG et réseaux : représentations géographiques et logiques des interconnexions — essentiels pour planifier les mouvements latéraux et comprendre l’étendue d’une attaque.

Ces données circulent en permanence entre les systèmes. Les équipes d’ingénierie partagent des plans avec les ateliers. Les fournisseurs reçoivent des spécifications techniques pour la maintenance. Les données de contrôle qualité transitent entre les réseaux de production et les systèmes métiers. Les canaux qui transportent ces données — souvent des serveurs SFTP anciens, des pièces jointes e-mail et des partages de fichiers non sécurisés — deviennent les voies d’exploitation des adversaires.

Le hacktivisme évolue vers des capacités opérationnelles

Le rapport Dragos met en lumière une autre tendance préoccupante : les groupes hacktivistes passent d’attaques symboliques à des campagnes opérationnelles.

BAUXITE a déployé deux variantes de malwares wiper sur des cibles israéliennes lors du conflit Iran-Israël en juin 2025. Il s’agit d’une escalade, passant de l’accès et de la perturbation à une volonté de destruction. Le groupe n’a pas seulement défiguré des sites ou volé des données. Il a utilisé des malwares conçus pour provoquer une perte de données irréversible et une perturbation opérationnelle.

Les groupes hacktivistes mêlent de plus en plus messages idéologiques et opérations alignées sur des États. Ils ciblent des interfaces HMI exposées à Internet, des postes d’ingénierie mal configurés et des protocoles de terrain ouverts comme Modbus/TCP et DNP3. Le niveau technique varie, mais l’intention reste la même : transformer l’accès numérique en impact réel.

Pour les organisations exploitant des infrastructures critiques, la conclusion est claire. Le paysage des menaces inclut désormais non seulement des acteurs étatiques et des criminels motivés par l’argent, mais aussi des groupes idéologiques capables d’affecter les opérations. La surface d’attaque — équipements exposés à Internet, accès à distance, systèmes à la frontière IT/OT — reste la même, quel que soit l’adversaire.

Conséquences pour la sécurité des données dans l’industrie

Les conclusions du rapport Dragos ont des conséquences directes sur la façon dont les organisations industrielles abordent la sécurité des données.

Les données ciblées sont opérationnelles, pas seulement personnelles. La sécurité des données se concentre traditionnellement sur la protection des informations personnelles, des données financières et de la propriété intellectuelle. Le paysage OT ajoute une nouvelle catégorie : les données opérationnelles pouvant servir à perturber les processus physiques. Les fichiers d’ingénierie, les configurations d’alarme et la documentation des systèmes de contrôle deviennent des cibles à haut risque nécessitant des stratégies de protection adaptées.

La convergence IT/OT crée des vulnérabilités dans les échanges de données. Les organisations industrielles font face à un paradoxe : les systèmes OT doivent être isolés pour la sécurité et la fiabilité, mais les données opérationnelles doivent circuler entre IT et OT pour les besoins métiers. Plans d’ingénierie partagés avec les fournisseurs, données de contrôle qualité échangées entre sites, spécifications pour la maintenance des équipements. Ces échanges transitent par des canaux systématiquement exploités par les adversaires. Gérer ce risque supply chain impose de gouverner chaque échange de données, pas seulement de sécuriser le périmètre réseau.

L’infrastructure de transfert de fichiers est une cible prioritaire. Le rapport Dragos et les analyses du secteur identifient le transfert sécurisé de fichiers et les systèmes SFTP comme des cibles majeures. Ces systèmes agrègent des données sensibles issues de multiples sources et relient souvent des segments de réseau normalement séparés. Une compromission donne accès à des réservoirs concentrés de données opérationnelles et ouvre la voie vers l’OT. Les serveurs SFTP anciens, dépourvus de journalisation, de contrôles d’accès ou de détection d’anomalies, sont particulièrement vulnérables.

Les déficits de visibilité exposent à la non-conformité. Lorsqu’une organisation ne voit pas ce qui se passe dans son environnement OT, elle ne peut pas prouver la conformité réglementaire. Elle ne peut pas produire de traces d’audit montrant qui a accédé à quelles données. Elle ne peut pas détecter ni signaler les violations dans les délais requis. Le délai moyen de détection de 42 jours allonge les fenêtres de notification et accroît la responsabilité réglementaire.

La confidentialité des données OT : une dimension négligée

Le rapport Dragos se concentre sur la sécurité opérationnelle, mais les types de données impliqués soulèvent d’importantes questions de confidentialité.

Les informations sur les opérateurs — comportements, plannings, historiques d’erreurs, incidents de sécurité — constituent des données personnelles sensibles au regard du RGPD, du CCPA et des réglementations émergentes. Les dumps d’identifiants et journaux d’activité publiés par des groupes hacktivistes exposent des identifiants personnels à l’échelle mondiale.

Les organisations ne classent généralement pas les données opérationnelles comme des informations personnelles identifiables. Mais lorsque les obligations de notification de violation s’appliquent, elles découvrent qu’elles détiennent des données personnelles sensibles qu’elles n’avaient ni recensées ni protégées.

La combinaison du contexte opérationnel et des identifiants personnels crée un risque réglementaire que la plupart des organisations industrielles n’ont pas anticipé. Les analyses d’impact sur la vie privée, conçues pour l’IT, ne prennent pas en compte les données personnelles intégrées dans les environnements OT.

Que doivent faire les organisations dès maintenant ?

Le rapport Dragos se conclut par un message clair : les lacunes restantes sont sérieuses, et établir une visibilité OT dès maintenant est essentiel.

Priorisez la visibilité avant tout. L’écart de détection entre 5 et 42 jours prouve que la capacité de supervision fait toute la différence. Les organisations ont besoin d’inventaires d’actifs, de supervision réseau et de télémétrie couvrant l’OT — pas seulement les réseaux IT. L’intégration SIEM qui collecte la télémétrie OT avec les logs IT comble le déficit de visibilité qui permet aux adversaires de rester indétectés pendant des semaines. Ce n’est pas une option, c’est la base de tout le reste.

Sécurisez la frontière IT/OT. Les échanges à la frontière IT/OT — fichiers d’ingénierie, données de configuration, spécifications fournisseurs — sont les voies privilégiées des adversaires. Ces canaux doivent être gouvernés, avec chiffrement, contrôles d’accès, journalisation et détection d’anomalies. Les SFTP et e-mails anciens ne suffisent pas pour des données pouvant permettre une perturbation opérationnelle. Une plateforme de transfert sécurisé de fichiers, dotée de traces d’audit et de contrôles DLP, offre le canal gouverné que les outils traditionnels ne peuvent garantir.

Tenez compte du modèle écosystémique. Se défendre contre l’accès initial ne supprime pas le risque quand des groupes comme SYLVANITE transmettent le point d’appui à des acteurs plus expérimentés. Les stratégies de sécurité doivent partir du principe qu’une compromission existe déjà et se concentrer sur la détection des mouvements latéraux, l’élévation de privilèges et l’accès aux données opérationnelles avant qu’il n’y ait un impact. Les principes du zéro trust — moindre privilège, vérification explicite, présomption de compromission — s’appliquent aussi à l’OT.

Comblez le déficit de classification. Les plans de réponse aux incidents doivent intégrer l’expertise OT dès le départ. Si chaque incident est classé « IT uniquement », les organisations passent à côté des implications opérationnelles jusqu’à ce qu’un processus se comporte anormalement. Les équipes de détection et de réponse doivent disposer du contexte nécessaire pour reconnaître quand une compromission IT a des conséquences OT.

Anticipez le contrôle réglementaire. Les données opérationnelles ciblées — fichiers d’ingénierie, configurations d’alarme, informations sur les opérateurs — déclenchent des obligations de conformité que les organisations n’avaient pas anticipées. Les traces d’audit, la capacité de notification de violation et la preuve d’une « sécurité raisonnable » doivent s’étendre à l’OT, pas seulement aux systèmes IT. Les cadres tels que NIST 800-53, NERC CIP et ISA/IEC 62443 exigent tous des contrôles démontrables sur l’accès, la transmission et la protection des données opérationnelles.

Le rapport Dragos 2026 décrit un paysage de menaces où les adversaires comprennent les opérations industrielles au niveau des processus et utilisent ces connaissances pour passer de l’intrusion à la tentative d’impact opérationnel. La conséquence défensive est sans ambiguïté : visibilité, contexte des actifs et détection adaptée à l’ICS ne sont pas optionnels.

Les organisations qui investissent dans ces fonctions détecteront les menaces avant tout impact physique. Les autres ne découvriront la compromission que lorsqu’un processus se comportera anormalement — et il sera alors trop tard.

Pour découvrir comment Kiteworks peut vous accompagner, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Architecture Zero Trust : ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : les inconvénients qui poussent les prestataires de défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées après détection par DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide de référence pour le stockage sécurisé des données sensibles à destination des responsables IT