Les bâtiments connectés sont désormais une cible à part entière pour les groupes de rançongiciel, au même titre que les serveurs de fichiers ou les boîtes mail. Selon un rapport d’Armis Labs (ServiceNow) relayé le 17 octobre 2026 par The Register, les attaquants ne se limitent plus au vol ou au chiffrement de données : ils s’en prennent directement aux systèmes qui agissent sur le monde physique, climatisation, réfrigération ou contrôle d’accès, pour faire monter la pression sur leurs victimes.
Les bâtiments connectés, nouvelle cible des rançongiciels #
Un bâtiment connecté moderne repose sur un système de gestion technique du bâtiment (GTB), aussi appelé BAS ou BMS en anglais : climatisation et chauffage, éclairage, gestion de l’énergie, lecteurs de badges, serrures électroniques, caméras et centrales incendie y sont pilotés depuis une même supervision. Cette centralisation, pensée pour le confort et les économies d’énergie, en fait désormais un levier de pression supplémentaire pour un attaquant qui cherche à forcer le paiement d’une rançon : couper la climatisation d’un centre de données, bloquer l’accès aux locaux ou arrêter une chaîne du froid a un impact immédiat et visible, sans attendre l’exfiltration ou le déchiffrement de données.
À retenir : un attaquant qui prend le contrôle d’un système de gestion technique du bâtiment peut agir sur le monde physique (portes, température, alarmes) sans toucher au système d’information classique, ce qui échappe souvent à la surveillance de sécurité habituelle.
Que révèle le rapport d’Armis Labs #
Le rapport d’Armis Labs, cité par The Register, porte sur la sécurité des systèmes d’automatisation des bâtiments et avance plusieurs chiffres : 73 % des organisations équipées de ce type de systèmes rapportent qu’ils ont déjà été utilisés dans une attaque par rançongiciel, 73 % également possèdent au moins une vulnérabilité connue et exploitée sur un de ces équipements, et 91 % des systèmes de ce parc communiquent via des protocoles non sécurisés. Le cabinet spécialisé en cybersécurité industrielle Dragos, également cité dans l’article, documente une hausse continue des incidents touchant les environnements OT : 995 attaques recensées en 2023, une progression de plus de 87 % en 2024, puis 1 020 incidents sur le seul premier trimestre 2026 et 1 140 au second trimestre. Dragos précise toutefois que ces chiffres s’appuient en partie sur des sites de fuite de données publiés par les groupes criminels eux-mêmes, des sources qui ne sont pas toujours vérifiables.
The Register cite plusieurs cas concrets illustrant cette tendance : des milliers de systèmes de réfrigération à distance compromis dans des supermarchés français en octobre 2026, provoquant pertes alimentaires et départs de feu (un incident que nous avons détaillé dans notre analyse de la cyberattaque Danfoss) ; un hôpital canadien dont le rançongiciel a paralysé le contrôle d’accès et la supervision CVC en août 2026 ; et un cas rapporté par la société Semperis où un attaquant a verrouillé l’accès à des bureaux, obligeant la police à briser des vitres pour y entrer, sans que l’entreprise ne cède au chantage.
Pourquoi les attaquants s’intéressent-ils à la supervision des bâtiments ? #
Deux facteurs reviennent dans l’article. D’abord, l’exposition : de nombreux équipements de gestion technique du bâtiment restent connectés à internet uniquement pour répondre à des obligations de conformité réglementaire, sans que cette connectivité soit strictement nécessaire au fonctionnement courant, selon l’analyse de Matt Hayden (General Dynamics IT). Ensuite, le manque de visibilité : Dragos estime que moins de 10 % des réseaux industriels dans le monde disposent d’une surveillance réseau suffisante, et que près de 30 % des incidents de 2025 n’ont été détectés que parce qu’une anomalie opérationnelle a été remarquée, pas grâce à une alerte de sécurité. Michael Freeman, de ServiceNow, ajoute que l’intelligence artificielle aide désormais les attaquants à comprendre rapidement des systèmes obsolètes ou peu documentés, comme certains équipements sous VxWorks ou d’anciennes variantes Unix, ce qui abaisse la barrière technique pour s’y introduire.
Comment se protéger ? #
Les recommandations qui se dégagent de ces retours convergent vers une poignée de mesures concrètes, applicables indépendamment de la taille de l’organisation :
- Cartographier les systèmes de gestion technique du bâtiment exposés à internet et couper les connexions qui ne sont pas strictement nécessaires, en particulier celles maintenues uniquement pour la conformité réglementaire.
- Corriger en priorité les équipements accessibles depuis internet, qui restent la cible la plus directe pour un attaquant opportuniste.
- Cloisonner le réseau du bâtiment du reste du système d’information, afin qu’une compromission de la climatisation ou du contrôle d’accès ne devienne pas un point d’entrée vers les serveurs ou les postes de travail.
- Mettre en place une supervision réseau dédiée aux environnements OT, même minimale, pour détecter une activité anormale avant qu’elle ne se traduise par un incident opérationnel visible.
- Documenter et exploiter les indicateurs de compromission disponibles sur ce type d’équipement, selon la même logique que pour un système d’information classique, en s’appuyant sur notre guide sur les IOC et IOA.
Points clés #
- Les bâtiments connectés (GTB/BAS) deviennent une cible directe des groupes de rançongiciel, qui exploitent leur impact physique pour accroître la pression sur les victimes.
- Selon Armis Labs, 73 % des organisations équipées rapportent une utilisation de ces systèmes dans une attaque par rançongiciel, et 91 % communiquent via des protocoles non sécurisés.
- Dragos documente une hausse continue des incidents OT, avec moins de 10 % des réseaux industriels suffisamment surveillés dans le monde.
- Les cas cités (supermarchés, hôpital, bureaux verrouillés) montrent un impact opérationnel immédiat, parfois sans vol de données ni chiffrement de fichiers classique.
- Les mesures prioritaires restent classiques : réduire l’exposition internet, cloisonner le réseau du bâtiment, superviser et documenter les indicateurs de compromission.