« Des attaques réussies contre des installations énergétiques sont très probables » : l’avertissement d’un spécialiste en cybersécurité

Aujourd’hui des frigos de supermarchés portés à 50 °C et demain des infrastructures énergétiques mises à l’arrêt par des attaques malveillantes ? La cyberguerre contre l’Europe commence à peine et elle pourrait bien un jour mettre en carafe une partie de nos installations électriques. Interrogé par L’Express, Tomislav Vazdar, fondateur et directeur général du cabinet de conseil Riskoria, conseille les entreprises et les institutions sur les risques cyber et l’IA. Il anticipe une multiplication des attaques à l’encontre des énergies renouvelables et les installations de chauffage. Toutes ne pourront pas être contrées. Le risque ? Que l’une d’entre elles crée un effet de masse déstabilisant pour le gestionnaire de réseau. Entretien.

L’Express : Les risques de cyberattaques visant les infrastructures énergétiques en Europe sont-ils clairement identifiés ?

Tomislav Vazdar : L’Europe n’a pas besoin d’imaginer une attaque contre son système énergétique, car elle en a déjà subi une. Le 29 décembre 2025, en pleine vague de froid, des pirates ont frappé des dizaines de parcs éoliens et solaires en Pologne, ainsi qu’une grande centrale de cogénération qui alimente les foyers en chauffage et en électricité. Ils ont mis hors service de nombreuses unités de contrôle reliant les parcs aux systèmes des gestionnaires de réseau. L’électricité a continué de circuler, mais les opérateurs sont devenus aveugles. Ils ont perdu le contact avec leurs sites. En juillet 2026, l’UE et le Royaume-Uni ont officiellement attribué l’attaque à une unité du FSB, le service de sécurité russe.

La méthode d’intrusion était tout sauf sophistiquée. Les pirates ont utilisé des portails d’accès à distance ouverts sur Internet qui n’étaient pas protégés par une double authentification. Puis ils ont visé des équipements industriels qui tournaient encore avec le mot de passe d’usine. Sur le réseau de la centrale, des activités suspectes avaient été repérées des mois plus tôt. C’est un cas d’école de ce que l’Anssi, l’agence française de cybersécurité, appelle le « pré-positionnement » : entrer discrètement aujourd’hui pour frapper demain.

De mon point de vue, trois secteurs sont particulièrement exposés à ce genre d’attaque. Les énergies renouvelables, car elles regroupent des milliers de petits sites gérés à distance, souvent via la plate-forme en ligne du fabricant. En octobre, un groupe d’experts mis en place par la Commission européenne a averti qu’une seule plate-forme piratée pourrait permettre à des pirates d’accéder simultanément à un grand nombre d’onduleurs solaires, ces boîtiers qui transforment le courant continu produit par les panneaux solaires en courant alternatif utilisable dans les maisons ou sur le réseau électrique.

Les installations de chauffage constituent également une cible. Tout comme les petites centrales hydroélectriques. En 2024, un groupe assimilé aux services de renseignement militaires russes a pris le contrôle d’une microcentrale hydroélectrique dans un village français, pensant apparemment qu’il s’agissait d’un barrage.

Les centrales nucléaires civiles sont-elles à l’abri de telles attaques ?

Aucune installation n’est à l’abri, mais une centrale nucléaire constitue l’une des cibles les plus difficiles à atteindre au sein du système énergétique ; ce n’est d’ailleurs pas là que réside le principal danger. Les systèmes chargés d’arrêter un réacteur et d’assurer son refroidissement sont isolés des réseaux extérieurs, et la mesure de sécurité la plus fondamentale est d’ordre physique. Dans les réacteurs à eau sous pression français, les barres de contrôle s’enfoncent dans le cœur sous l’effet de leur propre poids.

Les sous-traitants, les ordinateurs portables et les clés USB restent des points d’entrée potentiels, et l’attaque contre une usine d’enrichissement iranienne isolée a montré que l’isolement à lui seul ne suffit pas. Néanmoins, une intrusion est bien plus susceptible d’entraîner un arrêt coûteux qu’un accident radiologique. Le véritable risque est indirect. Un réacteur dépend du réseau qu’il alimente.

Lorsque la péninsule ibérique a été privée d’électricité le 28 avril 2025, lors d’une panne générale due principalement à des défaillances dans le contrôle de la tension et non à des pirates informatiques, les réacteurs espagnols en service se sont arrêtés automatiquement et sont restés en sécurité. C’est ainsi que le système devrait fonctionner. Mais pour un pays aussi dépendant du nucléaire que la France, la perte d’une grande partie de sa production en quelques secondes constituerait en soi une crise nationale ; et il n’est nul besoin, pour un attaquant, de s’en prendre directement à un réacteur pour provoquer une telle situation.

Existe-t-il des mesures de protection capables de réduire considérablement les menaces ?

Oui. Il est même dérangeant de voir que les attaques observées jusqu’à présent exploitent des failles que des mesures élémentaires bien connues auraient permis de combler ou de réduire considérablement. Les bonnes pratiques sont donc connues : tenir les équipements industriels à l’écart d’Internet, exiger une double vérification d’identité pour chaque connexion à distance, y compris au niveau des sous-traitants, changer les mots de passe par défaut avant de connecter un appareil à un réseau, mettre à jour ou remplacer les équipements dont le fabricant n’assure plus le support…

La Pologne a démontré que ces mesures de protection pouvaient faire la différence. Lors de l’attaque de la centrale thermique, un logiciel de sécurité a stoppé le programme malveillant sur plus d’une centaine d’ordinateurs où il avait déjà commencé à agir et un poste de contrôle doté de son propre mot de passe – et non de celui d’usine – a résisté aux tentatives des pirates visant à le deviner.

De son côté, la France protège bien ses plus grands opérateurs. Depuis la loi de programmation militaire de 2013, les opérateurs d’importance vitale, y compris les principales entreprises du secteur de l’énergie, doivent respecter des règles de sécurité contraignantes sous la supervision de l’Anssi. Le maillon faible, ce sont les acteurs plus modestes, de plus en plus nombreux, qu’entraîne la transition énergétique : exploitants de parcs solaires et éoliens, installateurs, sociétés de maintenance, fabricants dont les plates-formes pilotent les installations à distance… Dans un tel environnement, on ne peut pas éliminer les menaces à 100 %. Un acteur étatique déterminé trouvera toujours un moyen de s’introduire quelque part. L’objectif est donc de s’assurer qu’une seule faille ne se transforme pas en une centaine.

Pensez-vous que l’Europe et la France prennent la question des cyberattaques visant le secteur de l’énergie suffisamment au sérieux ?

Sur le papier, oui. Mais en pratique, c’est plus compliqué. L’Europe s’est dotée d’un cadre solide. La directive NIS2 étend les obligations de sécurité aux moyennes et grandes entreprises du secteur de l’énergie, un code dédié à la cybersécurité dans le domaine de l’électricité est en cours de mise en place, et la Commission a pris des mesures pour exclure des projets financés par l’UE les onduleurs provenant de fournisseurs à haut risque.

La France dispose de l’une des agences de cybersécurité les plus compétentes d’Europe, mais la loi destinée à transposer la directive NIS2, la loi Résilience, est au point mort. Le Sénat l’a adoptée en mars 2025. Le débat prévu à l’Assemblée nationale en octobre 2026 a été annulé la veille, et une nouvelle date reste incertaine. En juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne à l’encontre de la France en raison de ce retard. Tant que le texte n’aura pas été adopté, des milliers d’entreprises ne seront pas tenues, en vertu du droit français, de se conformer à ses exigences.

Les attaques contre les supermarchés montrent pourquoi cela est important. Le point faible n’était pas un grand opérateur étroitement surveillé, mais des équipements que personne ne surveillait vraiment, entretenus par des sous-traitants. La production d’énergie pose le même type de problème, avec des milliers de petits sites gérés à distance. Les règles qui ne s’appliquent qu’aux grands opérateurs protègent le château tandis que les attaquants entrent par la porte de service.

Au cours des cinq prochaines années, faut-il s’attendre à des attaques réussies contre des installations énergétiques ?

Oui, des attaques réussies sont très probables ; en revanche, une panne d’électricité à l’échelle nationale déclenchée d’un simple clic l’est beaucoup moins. Les réseaux européens disposent d’importantes marges de sécurité. Ce qui est réaliste, c’est une série d’attaques locales visant des centrales de chauffage, des parcs solaires et éoliens, des sites de stockage et, surtout, les entreprises qui en assurent la maintenance.

Un scénario plausible ressemble beaucoup à la campagne menée contre les supermarchés. Par une soirée glaciale de janvier, en période de pointe, des pirates qui ont passé des mois à s’infiltrer dans la plate-forme en ligne d’un fabricant d’équipements envoient simultanément la même commande à des milliers d’installations, provoquant la déconnexion des onduleurs solaires et des batteries domestiques. Pris isolément, chaque site est insignifiant ; mais ensemble, ils créent un déséquilibre soudain que le gestionnaire de réseau doit absorber en quelques secondes, éventuellement en coupant l’électricité dans certaines zones. Au même moment, une centrale de chauffage dans une ville de taille moyenne voit ses ordinateurs de contrôle tomber en panne, et les habitants se retrouvent sans chauffage le temps que les ingénieurs la redémarrent manuellement.

Les attaques contre les supermarchés ont montré à quelle vitesse une faille négligée peut se transformer en un effet de masse, avec des centaines de sites touchés en une seule nuit. La question pour les cinq prochaines années n’est pas de savoir si les pirates tenteront leur chance, mais si des milliers de petits opérateurs énergétiques combleront les failles les plus élémentaires avant que quelqu’un ne les exploite au pire moment possible.