Bulletin sur les cybermenaces : Activités non étatiques ciblant les technologies opérationnelles canadiennes

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) continue de constater que des auteurs de cybermenace non étatiques ciblent ou tentent de perturber les systèmes de technologie opérationnelle (TO) vulnérables et exposés à Internet au Canada. Ces auteurs de menaces utilisent souvent les activités de cybermenace pour intimider ou forcer leur cible à influencer l'opinion publique ou la prise de décisions au gouvernement en lien avec les événements internationaux.

On estime que les activités non étatiques contre le Canada augmentent fort probablement dans le contexte d'événements, tels que les déclarations publiques et les annonces de politiques par le Canada, que ces auteurs de menace estiment aller à l'encontre de leurs objectifs idéologiques, de même que dans le contexte d'événements importants, comme les sommets diplomatiques ou les grandes manifestations sportives internationales, ce qui accroît la visibilité et les répercussions de leurs activités. Toutefois, on considère que des auteurs non étatiques balaient probablement continuellement les systèmes canadiens pour trouver des vulnérabilités et qu'ils pourraient mener des activités de cybermenace perturbatrices ou destructrices à tout moment.

Si certains auteurs de menace non étatiques semblent recevoir le soutien d'auteurs étatiques, on croit que la plupart des activités de cybermenace non étatiques visant les systèmes de TO canadiens sont presque certainement planifiées et exécutées de façon indépendante. Les relations entre les auteurs étatiques et non étatiques sont souvent ponctuelles avec un degré de connexion variable dans le temps. Ce faisant, les activités des auteurs non étatiques qui s'alignent sur les intérêts d'États ne doivent pas nécessairement être interprétées comme une représentation des intérêts ou des politiques d'un État à l'endroit du Canada.

Tactiques, techniques et procédures

Un nombre croissant d'auteurs non étatiques ciblent les systèmes de TO connectés à Internet, en vue de causer des effets perturbateurs ou destructeurs. Ceux-ci ont généralement des moyens techniques peu ou moyennement sophistiqués, mais s'avèrent efficaces en raison d'une hygiène faible d'exposition et de l'accès à distance non sécurisé dans les environnements de TO.

En octobre 2025 seulement, il y a eu plusieurs incidents d'auteurs non étatiques s'en prenant aux systèmes de TO au Canada, notamment :

• un cas pro-Russie de compromission d'un système municipal d'alimentation en eau par la manipulation des contrôles des valves de pression d'eau, ce qui a entraîné des répercussions mineures sur la prestation des services d'eau;
• un cas pro-Hamas d'accès à un circuit de jaugeage d'un réservoir de carburant situé dans un aéroport. L'auteur a été en mesure de consulter l'information sur le système, mais n'a pas eu la possibilité d'en manipuler les contrôles;
• un cas pro-Russie d'accès au système de contrôle d'un silo-séchoir à grains. L'auteur de menace a manipulé la température et le niveau d'humidité du silo, mais il n'y a eu aucun dommage.

Ces activités utilisent fréquemment des outils de balayage publics pour détecter les TO connectées à Internet et exploitent des outils d'accès à distance désuets ou mal configurés, comme le protocole d'informatique virtuelle en réseau (VNC pour virtual network computing), des mots de passe faibles ou par défaut ou encore des systèmes qui ne demandent pas l'authentification multifacteur.

Une fois entrés dans ces systèmes, les auteurs non étatiques tentent de les perturber en défigurant les interfaces de système, en changeant la configuration et en manipulant les contrôles de système. Il peut alors y avoir des perturbations opérationnelles, des dysfonctionnements des systèmes d'exploitation et des dommages physiques aux systèmes. Dans certains cas, les activités peuvent créer des conditions dangereuses qui affectent les opérateurs ou la sécurité publique.

Les TTP de TO des auteurs non étatiques associées à MITRE ATT&CK pour les systèmes de contrôle industriels

T0888 – Découverte de système à distance

Balayage sur tout l'Internet pour détecter les systèmes de TO et les services d'accès à distance vulnérables

T0866 – Comptes valides

Exploitation des services d'accès à distance accessible sur Internet au moyen de justificatifs d'identité faibles, réutilisés ou par défaut (p. ex. VNC, bureau à distance, portails de maintien des fournisseurs)

T0886 – Services distants

Utilisation de services distants légitimes pour accéder aux environnements de TO

T0856 – Identification des dispositifs de contrôle

Interaction directe avec les interfaces humain-machine (IHM), ingénierie des stations de travail ou interfaces des systèmes de contrôle

T0831 – Manipulation des contrôles
T0809 – Modification des tâches de contrôle

Manipulation des configurations de système des TO et des valeurs prédéterminées (p. ex. pression, température, alarmes)

Perspective

Le contexte de cybermenace auquel sont confrontés les exploitants de biens de TI et de TO se détériore. Bien que le Canada ait évité jusqu'à présent un incident majeur lié aux TO, l'exposition croissante aux menaces, combinée au déploiement de TO vulnérables et à l'augmentation de la capacité et des intentions des auteurs de menace à l'égard de ces systèmes, accroît le risque que de futurs incidents soient bien plus graves.

Les auteurs de cybermenace continuent d'adapter leurs activités en fonction des événements géopolitiques, des progrès technologiques et des efforts d'atténuation des responsables de la défense. Il est possible d'utiliser les outils d'intelligence artificielle (IA), qui s'améliorent rapidement et qui deviennent de plus en plus accessibles, en appui aux activités de cybermenace Ces outils permettent à des auteurs de cybermenace peu sophistiqués de mener des attaques complexes et perturbatrices visant des systèmes de TO.

La cybermenace dans le présent bulletin peut largement être atténuée par la sensibilisation et la mise en œuvre de pratiques exemplaires en matière de cybersécurité. Le Centre pour la cybersécurité encourage les propriétaires de systèmes de TI et de TO à se mettre en œuvre les conseils d'atténuation suivants.

Mesures d'atténuation

Le Centre pour la cybersécurité recommande que les organisations du secteur des infrastructures essentielles mettent en œuvre les mesures d'atténuation suivantes pour établir des mesures de cyberdéfense robustes contre les auteurs de cybermenace non étatiques. Chacune des mesures d'atténuation est liée aux objectifs relatifs à l'état de préparation en matière de cybersécurité (OEPC), qui sont des pratiques de base que peuvent prendre les organisations pour améliorer leur posture de cybersécurité. Vous trouverez d'autres détails sur chacun des objectifs dans la boîte à outils des objectifs intersectoriels relatifs à l'état de préparation en matière de cybersécurité.

Principale mesure d'atténuation

La mesure de défense la plus efficace contre cette menace est de retirer la connexion des systèmes de TO à l'Internet et l'établissement d'une frontière stricte qui est surveillée et contrôlée entre les réseaux de TI et de TO. Bon nombre des mesures de contrôle supplémentaires suivantes sont des mesures compensatoires qui ne suffisent pas à elles seules si les systèmes de TO sont toujours accessibles par Internet.

Établir et protéger les limites des TO et isoler les accès administratifs

Segmentation réseau (OEPC 2.5)

• Elle réduit la probabilité que des auteurs de menace accèdent au réseau de TO après avoir compromis le réseau de TI.
• Toutes les connexions au réseau de TO sont refusées par défaut à moins qu'elles aient été explicitement autorisées (par exemple, pour une adresse IP et un port particuliers) à des fins de fonctionnement du système. Les voies de communication nécessaires entre les réseaux de TI et de TO doivent passer par un intermédiaire, tel qu'un pare-feu configuré adéquatement, un hôte bastion, un serveur intermédiaire ou une zone démilitarisée, qui est surveillé étroitement, saisit les journaux réseau et autorise seulement les connexions de biens approuvés.
• Il faut noter que la segmentation peut briser ou perturber les processus et les services, car les environnements de TO sont souvent « plats ». La segmentation devrait être faite si possible en suivant des processus contrôlés.

Connexion interdite de dispositifs non autorisés (OEPC 2.17)

• Appliquer des politiques et des processus pour veiller à ce que le matériel et les supports non autorisés ne soient pas connectés aux biens de TO, par exemple en limitant l'utilisation de dispositifs USB et de supports amovibles, ou en désactivant le lancement automatique.
• Établir des procédures pour retirer, désactiver ou sécuriser les ports physiques dans les environnements de TO de façon à empêcher la connexion de dispositifs non autorisés, ou établir des procédures pour accorder l'accès au moyen d'exceptions approuvées.

Limitation des connexions de TO à un réseau Internet public (OEPC 2.18)

• S'assurer qu'aucun bien de TO n'est connecté à l'Internet public, à moins que la connexion soit explicitement requise pour le fonctionnement.
• Il faut que les exceptions soient justifiées et consignées et que les biens exemptés aient des mesures de protections supplémentaires pour empêcher et détecter les tentatives d'exploitation. Par exemple, la journalisation, l'authentification multifacteur (AMF), l'accès obligatoire par serveur mandataire ou d'autres intermédiaires.

Aucun service exploitable sur Internet (OEPC 2.20)

• S'assurer que les biens dans l'Internet public n'exposent aucun service exploitable, tel que le protocole RDP. Lorsque ces services doivent être exposés, mettre en œuvre des contrôles compensatoires appropriés pour prévenir les formes courantes d'abus et d'exploitation. Désactiver tous les protocoles réseau et toutes les applications de système d'exploitation qui ne sont pas nécessaires sur les biens connectés à Internet.

Poste de travail administratif sécurisé (SAW pour secure administrator workstation) (OEPC 2.21)

• Fournir des SAW aux administratrices et administrateurs pour réaliser leurs tâches administratives. Créer des SAW sécurisés et renforcés en mettant en œuvre les mesures suivantes :
  • isoler les SAW du réseau de TI public et, le cas échéant, du plan de données;
  • désactiver la capacité d'installer d'autres logiciels;
  • limiter l'accès à Internet ou aux services de courriel;
  • pour l'administration du nuage à partir de cette station de travail dédiée, il convient d'utiliser un RPV ou des listes d'applications autorisées pour accéder à l'architecture du nuage.

Mettre en place des contrôles d'accès robustes

Changement des mots de passe par défaut (OEPC 2.0)

• Appliquer un processus ou une politique à l'échelle de l'organisation qui exige que les mots de passe par défaut du fabricant soient changés pour tout le matériel, tous les logiciels et tous les micrologiciels avant de les intégrer à un réseau interne ou externe. Cette mesure s'applique entre autres aux biens de TI pour les TO, comme les pages Web d'administration des TO. Cette mesure doit être prise en consultation avec les fournisseurs pour obtenir leurs conseils ou respecter leur processus approuvé.
• Mettre en place une stratégie exigeant de modifier les justificatifs d'identité par défaut de tous les appareils, tant nouveaux que futurs. Cette stratégie réduit les possibles risques dans l'avenir si les TTP des adversaires changent et demande moins de travail que de changer les mots de passe par défaut sur les TO existantes de l'organisation.

Longueur minimale des mots de passe (OEPC 2.1)

• Mettre en œuvre une stratégie appliquée par le système qui exige un mot de passe d'une longueur minimale de 15 caractères pour tous les biens de TO, si c'est possible sur le plan technique.
• La priorité doit être accordée aux biens de TO qui utilisent un mécanisme centralisé d'authentification (comme Active Directory). Des exemples de biens de TO à faible risque pour lesquels ces mesures ne sont peut-être pas possibles sur le plan technique comprennent ceux dans des emplacements éloignés, tels que des éoliennes ou des plateformes de forage pétrolier en mer.

Justificatifs d'identité uniques (OEPC 2.2)

• Fournir des justificatifs d'identité uniques et distincts pour des services similaires et l'accès aux biens sur les réseaux de TO.
• Veiller à ce que les utilisatrices et utilisateurs ne puissent pas réutiliser des mots de passe pour les comptes, les applications, les services, etc.
• Exiger que les comptes de services et de machines aient des mots de passe uniques pour chaque compte d'utilisateur.

Séparation des comptes d'utilisateur et privilégiés (OEPC 2.4)

• Les comptes d'utilisateur n'ont pas toujours des privilèges d'administrateur ou de superutilisateur. Les administratrices et administrateurs ont des comptes d'utilisateur séparés pour réaliser les activités qui ne sont pas liées au rôle d'administrateur (comme le courrier électronique et la navigation Web).
• Réévaluer les privilèges à un intervalle régulier pour vérifier que les différents ensembles d'autorisations sont toujours nécessaires.

Authentification multifacteur (AMF) résistante à l'hameçonnage (OEPC 2.7)

• Dans les environnements de TO, activer l'AMF pour tous les comptes et systèmes auxquels il est possible d'accéder à distance, y compris les comptes de fournisseurs ou de maintenance, les postes de travail d'ingénierie et d'utilisateur accessibles à distance et les interfaces homme-machine accessibles à distance.

Comprendre et réduire l'exposition

Répertoire des biens et topologie de réseau (OEPC 1.0)

• Tenir un répertoire de tous les biens dans les réseaux de TI (y compris IPv6) et de TO de l'organisation (le cas échéant) et le mettre à jour régulièrement.
• Inclure dans le répertoire des documents fiables sur la topologie de réseau et sur les biens de données identifiés, plus particulièrement l'information sensible ou classifiée.
• Mettre à jour le répertoire régulièrement pour les TI et les TO, et ajouter immédiatement au répertoire tout nouveau bien qui est intégré à l'infrastructure de l'organisation.

Atténuation des vulnérabilités connues (OEPC 1.1)

• Dans un délai proportionnel aux risques, corriger toutes les vulnérabilités exploitées connues (qui figurent dans le catalogue Known Exploited Vulnerabilities Catalog de la CISA) dans les systèmes connectés à Internet, en priorisant les biens essentiels. Trouver des vulnérabilités de sécurité dans vos systèmes en réalisant des tests de pénétration et en utilisant des outils automatisés d'analyse des vulnérabilités. Ces activités font partie d'une stratégie complète de gestion des vulnérabilités.
• Pour les biens auxquels il est impossible d'appliquer les correctifs nécessaires ou dont l'application de correctifs risquerait de compromettre considérablement la disponibilité ou la sécurité, appliquer des contrôles compensatoires (comme la segmentation ou la surveillance) et les consigner. Les contrôles adéquats rendent le bien inaccessible par Internet ou réduisent la capacité des auteurs de menace d'exploiter les vulnérabilités de ces biens.
• Sélectionner minutieusement des outils automatisés de détection des vulnérabilités aux fins d'analyse rigoureuse des systèmes. Ces outils peuvent provoquer un comportement erratique des dispositifs, entraîner l'arrêt, une panne ou un redémarrage de ceux-ci, ou nécessiter une intervention manuelle pour retourner à un état opérationnel.

Améliorer la détection et l'intervention

Détection des tentatives infructueuses (automatisées) de connexion (OEPC 2.6)

• Journaliser toutes les tentatives infructueuses et les envoyer à l'équipe de sécurité ou au système de journalisation pertinent de l'organisation.
• Veiller à ce que les équipes de sécurité soient avisées (p. ex. au moyen d'une alerte) lorsque le nombre maximal de tentatives consécutives d'ouverture de session infructueuse a été atteint dans un délai très court (p. ex. cinq tentatives infructueuses en deux minutes). Journaliser et conserver ces alertes dans le système de demandes de service ou de sécurité pertinent aux fins d'analyse rétroactive.
• Pour les biens de TI, mettre en œuvre une stratégie appliquée par le système qui empêche les ouvertures de session futures provenant du compte suspect. Cette stratégie pourrait, par exemple, être mise en place pour une période minimale précise ou jusqu'à ce que le compte soit réactivé par une utilisatrice ou un utilisateur privilégié. Activer cette configuration sur un bien dans la mesure du possible. À titre d'exemple, Windows 11 peut verrouiller automatiquement les comptes pendant dix minutes à la suite de dix tentatives infructueuses d'ouverture de session dans un délai de dix minutes.

Collecte des journaux (OEPC 2.15)

• Recueillir et conserver les journaux pour les utiliser dans les activités de détection et d'intervention en cas d'incident (comme les enquêtes numériques), y compris les journaux suivants :
  • axés sur l'accès et la sécurité (comme les systèmes de détection et de prévention d'intrusion [SDI/SPI]);
  • pare-feu;
  • prévention de la perte de données (PPD);
  • réseaux privés virtuels (RPV).
• Les équipes de sécurité sont avisées lorsqu'une source de journaux essentielle est désactivée, comme la journalisation des événements Windows.
• Pour les biens de TO dont les journaux ne sont pas standards ou disponibles, recueillir le trafic réseau et les communications entre ces biens et d'autres biens.

Effectuer des évaluations des risques

Détecter les menaces pertinentes et les TTP (OEPC 3.0)

• Documenter une liste de menaces et de TTP des auteurs de cybermenace qui s'applique à l'organisation (par exemple, en fonction de l'industrie ou du secteur) et être capable de détecter ces principales menaces (par exemple, à l'aide de règles, d'alertes ou de systèmes commerciaux de détection et de prévention).

Les organisations devraient effectuer des auto-évaluations au moyen de la trousse à outils de l'OEPC pour cerner les lacunes et suivre les progrès.

Élaborer un plan d'intervention en cas d'incident.

Plan d'intervention en cas d'incident (OEPC 1.3)

• Élaborer, tenir, mettre à jour et mettre à l'essai régulièrement les plans d'intervention en cas d'incident de cybersécurité s'appliquant aux TO pour les TTP et les scénarios de menace courants et propres à l'organisation (par secteur ou par site, par exemple).
• Envisager de collaborer avec les parties prenantes appropriées pour mener des exercices de simulation axés sur les menaces émergentes et les attaques renforcées par l'intelligence artificielle.

Planification en cas d'incident et état de préparation (OEPC 5.0)

• Élaborer, tenir à jour et exécuter des plans visant à assurer la reprise et la restauration des activités et des systèmes ou biens essentiels à la mission qui pourraient avoir été touchés par un cyberincident.
• En cas de cyberincident, exécuter une analyse de l'incident après la reprise afin de déterminer les leçons retenues et d'empêcher de futurs incidents. Intégrer les leçons retenues aux améliorations apportées aux processus de gouvernance et/ou au plan d'intervention en cas d'incident.

Former le personnel et les fournisseurs

Formation relative à la cybersécurité de base et des TO (OEPC 2.8)

• Donner de la formation sur les concepts de base en matière de cybersécurité et de protection de la vie privée, tels que l'hameçonnage, les compromissions de courriel d'affaires, la sécurité opérationnelle de base, la sécurité des mots de passe et les atteintes à la vie privée, et promouvoir une culture interne de sécurité et de sensibilisation à la cybersécurité.
• S'assurer que les membres du personnel qui entretiennent ou sécurisent les TO dans le cadre de leurs tâches courantes reçoivent de la formation en matière de cybersécurité propre aux TO au moins tous les ans.

Conserver des sauvegardes

Sauvegardes et redondance de système (OEPC 2.14)

• Effectuer régulièrement des sauvegardes de tous les systèmes nécessaires aux opérations. Déterminer au cas par cas les systèmes qui doivent faire l'objet d'une sauvegarde et la fréquence précise à laquelle la sauvegarde doit être faite, car tous les systèmes auront différentes exigences en matière de sauvegarde et de récupération des données.
• Conserver les sauvegardes séparément des systèmes sources et effectuer des tests régulièrement au moins annuellement pour vérifier qu'elles sont utilisables.
• Veiller à ce que l'information conservée pour les biens de TO comprenne, au minimum :
  • les configurations;
  • les rôles;
  • les automates programmables industriels (API);
  • les dessins techniques;
  • les outils.

Ces mesures d'atténuation peuvent aider les organisations du secteur des infrastructures essentielles à empêcher l'exploitation des systèmes vulnérables par les auteurs de cybermenace non étatiques. On encourage les organisations possiblement confrontées à un cyberincident à communiquer avec le Centre pour la cybersécurité pour mettre en place des mesures d'atténuation et obtenir de l'aide afin de reprendre leurs activités.

Ressources

• Évaluation des cybermenaces nationales 2025-2026
• Bulletin sur les cybermenaces : Les cybermenaces visant les technologies opérationnelles
• Cybersecurity and Infrastructure Security Agency. Unsophisticated Cyber Actor(s) Targeting Operational Technology (en anglais seulement)
• Département de la Justice des États-Unis. Justice Department Announces Actions to Combat Two Russian State-Sponsored Cyber Criminal Hacking Groups (en anglais seulement)
• U.S. Cybersecurity and Infrastructure Security Agency.Known Exploited Vulnerabilities Catalog (en anglais seulement)

---

À propos du présent document

Ce cyberbulletin vise à sensibiliser les propriétaires de systèmes de technologies de l'information (TI) et de technologies opérationnelles (TO) et les exploitants, et invite toutes et tous les Canadiens à se méfier de cette menace. Il se base sur une alerte publiée par le Centre pour la cybersécurité le 29 octobre 2025, intitulée Abus de systèmes de contrôle industriels (SCI) accessibles depuis Internet par des hacktivistes, ainsi qu'un bulletin de cybersécurité conjoint sur les hacktivistes pro-Russie, rédigé par le Centre pour la cybersécurité et des partenaires internationaux en décembre 2025, afin de fournir plus de contexte et des conseils d'atténuation.

Veuillez communiquer toute question ou préoccupation au Centre pour la cybersécurité à contact@cyber.gc.ca.

Méthodologie et fondement de l'évaluation

Les avis énoncés dans le présent document reposent sur des rapports de différentes sources, à la fois classifiées et non classifiées. Ils sont fondés sur les connaissances et l'expertise du Centre pour la cybersécurité en matière de cybersécurité. Le rôle que joue le Centre pour la cybersécurité dans la protection des systèmes d'information du gouvernement du Canada lui confère une perspective unique pour observer les tendances dans le contexte de cybermenace, ce qui oriente aussi ses évaluations. Dans le cadre du volet touchant le renseignement étranger du mandat du Centre de la sécurité des télécommunications (CST), le Centre pour la cybersécurité accède à de l'information précieuse sur le comportement des adversaires dans le cyberespace. Bien qu'il soit toujours tenu de protéger les sources et méthodes classifiées, le Centre pour la cybersécurité fournira au lectorat, dans la mesure du possible, les justifications qui ont motivé ses avis.

Les avis du Centre pour la cybersécurité sont basés sur un processus d'analyse qui comprend l'évaluation de la qualité de l'information disponible, l'étude de différentes explications, l'atténuation des biais et l'usage d'un langage probabiliste. Le Centre pour la cybersécurité utilise des formulations telles que « nous évaluons que » ou « nous jugeons que » pour présenter une évaluation analytique. Des qualificatifs comme « possiblement », « probable » et « très probable » visent à exprimer les probabilités.

Les évaluations et analyses énoncées dans le présent document sont fondées sur des renseignements disponibles en date du 23 janvier 2026.