Les acteurs étatiques hostiles représentent 75% des cyberattaques contre les infrastructures critiques britanniques — Analyse approfondie du rapport annuel du NCSC

Aperçu des événements

Le 17 juin 2026, Richard Horne, directeur général du Centre national de cybersécurité britannique (NCSC), a révélé lors de la conférence annuelle sur la sécurité du Royal United Services Institute (RUSI) que le NCSC avait traité 200 incidents cybernétiques touchant des infrastructures nationales critiques (CNI) au cours de l'année écoulée (juin 2025 à mai 2026), dont environ 75 % provenaient ou étaient liés à des acteurs étatiques hostiles comme la Russie, la Chine et l'Iran. Ce chiffre est en légère baisse par rapport aux 204 incidents « d'importance nationale » signalés dans le rapport annuel précédent, mais la prédominance des acteurs étatiques hostiles s'est renforcée.

• Horne a divisé les menaces cybernétiques en trois « espaces de contestation » :
• L'espace lointain : le territoire des adversaires, que le Royaume-Uni contrecarre par le renseignement, les sanctions, les mesures d'application de la loi et les opérations offensives dans le cyberespace.
• L'espace intermédiaire : l'infrastructure numérique partagée par les acteurs légitimes et malveillants, où les attaquants exploitent le cloud et les chaînes d'approvisionnement open source pour diffuser des codes malveillants et obtenir un impact à grande échelle.
• L'espace proche : les systèmes internes des organisations ciblées. Horne appelle les conseils d'administration à prioriser les capacités de base : connaître la surface d'exposition, se défendre et répondre.

Analyse technique et des risques

Méthodes d'attaque et chaîne d'exploitation Horne a souligné que les acteurs étatiques utilisent généralement des stratégies de prépositionnement. Par exemple, l'organisation Volt Typhoon, soutenue par la Chine, a établi des points d'accès persistants dans l'infrastructure numérique américaine. Ces « points d'appui invisibles » prépositionnés peuvent être activés rapidement en cas de conflit, provoquant des perturbations massives. Les attaquants exploitent également largement les services cloud, les composants open source et les chaînes d'approvisionnement tierces pour diffuser des codes malveillants, tirant parti de « l'espace intermédiaire » pour obtenir un effet de levier.

L'IA est qualifiée d'« accélérateur ». Le NCSC estime que les modèles d'IA de pointe peuvent déjà identifier efficacement des vulnérabilités de longue date dans le code, et qu'il est « hautement probable » qu'avant 2028, les attaquants utiliseront l'IA pour automatiser des attaques contre les vulnérabilités connues et non corrigées des infrastructures critiques britanniques. Horne prévient : « De nombreuses vulnérabilités tolérées aujourd'hui par les organisations seront exploitées en cas de conflit demain. »

Actifs et secteurs touchés Andrew Lintell, directeur général EMEA de Claroty, a souligné que les secteurs à forte densité OT (industrie manufacturière, eau, production d'électricité) représentent plus de 40 % des attaques observées dans le domaine des CNI, car leur compromission peut provoquer le maximum de chaos et de panique. James Neilson, vice-président senior mondial d'OPSWAT, a souligné que les environnements des infrastructures critiques mélangent actifs IT et OT, mais que très peu de personnes possèdent une expertise approfondie dans les deux domaines, créant un fossé de connaissances dans l'évaluation des menaces et le développement de la défense.

Analyse de l'impact sur les entreprises

Risques opérationnels et financiers Les attaques des acteurs étatiques visent généralement l'infiltration à long terme, le vol de données et la destruction dévastatrice, ce qui peut entraîner l'interruption des processus industriels essentiels, l'arrêt de la production et la perte de données. Les coûts de rétablissement sont souvent très élevés, incluant la réponse aux incidents, la reconstruction des systèmes, les amendes réglementaires et l'atteinte à la réputation.### Risques de conformité et de marque Le Royaume-Uni a renforcé la réglementation des CNI (infrastructures nationales critiques) avec le Cybersecurity and Resilience Act. Les organisations qui ne parviennent pas à démontrer qu'elles ont pris des mesures de cybersécurité appropriées s'exposent à de lourdes sanctions. De plus, les attaques impliquant des acteurs étatiques sont souvent accompagnées d'espionnage et de liens géopolitiques, provoquant une crise de réputation de marque.

Risques liés aux données Les attaquants peuvent voler des conceptions industrielles, des données opérationnelles, des informations clients, etc., et même aggraver l'impact négatif par le biais de rançongiciels. Même sans rançon, la fuite de données constitue en elle-même un risque pour la sécurité nationale.

Observations des tendances du secteur

La cybersécurité est une « compétition » plutôt qu'un « risque » Horne critique vivement la pensée traditionnelle qui considère la cybersécurité comme un « élément à gérer » dans un registre des risques, et préconise de la reconstruire comme une « compétition continue de capacités et de performances ». Graeme Stewart, directeur du secteur public chez Check Point, fait écho : le PDG du NCSC a parfaitement raison ; les organisations qui ne considèrent la cybersécurité que comme une case à cocher de conformité seront exposées à des dangers.

Les attaques pilotées par l'IA vont devenir la norme Le NCSC prévoit que l'IA sera utilisée dans les deux prochaines années pour exploiter à grande échelle les vulnérabilités héritées. Cela signifie que les organisations doivent accélérer leurs processus de correction et déployer des outils de défense pilotés par l'IA. En parallèle, le cloud et l'IA en tant que service peuvent être empruntés par des adversaires, augmentant la complexité de la chaîne d'approvisionnement.

Les systèmes hérités deviennent des points faibles fatals De nombreuses infrastructures critiques fonctionnent encore avec des systèmes anciens et non supportés, qui deviendront des cibles prioritaires en cas de conflit. Horne souligne : « Dans le cyberespace, nous menons déjà dans une certaine mesure les combats de demain. »

Recommandations en matière de défense et de réponse

Au niveau de l'entreprise - Gestion des identités et des accès : mettre en œuvre l'authentification multifacteur (MFA) et le principe du moindre privilège pour empêcher les mouvements latéraux après une fuite d'identifiants. - Architecture Zero Trust : vérifier tout le trafic interne et externe, ne faire confiance à aucune zone « sécurisée » par défaut. - Gestion des vulnérabilités : prioriser la correction des vulnérabilités connues exploitées, en accordant une attention particulière aux systèmes hérités dans l'OT/ICS.

Au niveau technique - Déploiement d'EDR/XDR : assurer une surveillance en temps réel et une analyse comportementale des endpoints et du réseau. - Intégration du renseignement sur les menaces : s'abonner aux sources officielles et commerciales de renseignement (NCSC, CISA, etc.) pour être alerté des attaques ciblées. - Isolation de la sécurité OT : mettre en place une forte isolation logique ou physique entre les réseaux IT et OT, déployer des systèmes de détection d'intrusion dédiés.

Au niveau managérial - Exercices de réponse aux incidents : simuler régulièrement des scénarios d'attaque par des acteurs étatiques, tester la coordination interservices et les processus de rétablissement. - Évaluation des risques liés à la chaîne d'approvisionnement : effectuer des audits de sécurité chez les fournisseurs clés, s'assurer de la fiabilité des codes en amont et des services cloud. - Sensibilisation du conseil d'administration à la sécurité : s'assurer que la direction comprend le concept de « compétition continue » et donne à l'équipe sécurité des ressources suffisantes.

SecurityPost InsightL'avertissement du NCSC n'est en rien exagéré. Le fait que 75 % des attaques soient attribuables à des acteurs étatiques montre que les tensions géopolitiques se sont entièrement répercutées dans le cyberespace, et les infrastructures critiques ne sont plus des « cibles indirectes » mais un « champ de bataille direct ». Le cadre « tridimensionnel » proposé par Horne — la suppression dans l'espace lointain, le durcissement structurel dans l'espace intermédiaire et la défense de base dans l'espace proche — offre aux organisations une stratification stratégique claire. Pourtant, la plupart des entreprises restent enfermées dans une logique de « liste de risques » axée sur la conformité, ignorant que les adversaires prépositionnent déjà leurs capacités d'attaque dans l'espace intermédiaire (cloud, chaîne d'approvisionnement, services d'IA).

Le défi le plus critique réside dans la fenêtre temporelle : le NCSC prédit que l'IA sera utilisée pour des exploitations de vulnérabilités à grande échelle d'ici 2028, alors que de nombreuses organisations n'ont pas encore commencé à éliminer les systèmes hérités vieux de plus de vingt ans. Pour les infrastructures critiques qui dépendent d'environnements hybrides OT/IT, l'urgence est de combler le fossé de connaissances interdisciplinaires et de bâtir des systèmes de résilience capables de faire face à la fois aux menaces physiques et numériques.

Cette course n'a pas de ligne d'arrivée, mais les organisations qui investissent dans un renforcement continu des capacités — plutôt que dans des projets de conformité ponctuels — prendront l'avantage dans cette guerre de longue durée.

--- *Source de l'information : Article d'Infosecurity Magazine intitulé « Hostile States Behind 75% of Cyber-Attacks on UK Critical Infrastructure, NCSC Warns »*