NOUSEC traite les deux éléments qui rendent le risque humain particulier dans l'industrie et l'énergie : la chaîne d'approvisionnement et l'atelier. Des tiers sont impliqués dans 61 % des violations de l'industrie manufacturière, la part la plus élevée de tous les secteurs du Verizon DBIR ; les prétextes qui comptent sont donc le changement de coordonnées bancaires d'un fournisseur, le référencement d'un fournisseur et l'approche de recruteurs auprès du personnel d'exploitation. Et comme une grande partie des effectifs n'a pas de poste attitré, NOUSEC simule par QR code, clé USB, SMS et WhatsApp autant que par e-mail, et propose la formation en formats courts, y compris des affiches et des infographies pour les zones où personne n'a d'écran.
Le secteur le plus attaqué, cinq ans de suite.
Votre chaîne d’approvisionnement est une surface d’attaque sociale.
Soixante et un pour cent d’implication de tiers, ce n’est pas un problème de questionnaire fournisseur. C’est un problème humain, avec un bon de commande à la clé.
| Prétexte | Pourquoi ça marche | Le contrôle qui tient |
|---|---|---|
| Changement de coordonnées bancaires d’un fournisseur | La demande vient d’une relation réelle, sur le bon ton, au moment plausible du cycle de facturation. | Vérification auprès du contact déjà enregistré, jamais auprès de celui qui figure dans la demande. |
| Référencement d’un fournisseur / faux devis | Le rôle des achats est de répondre vite aux nouveaux fournisseurs. | Un circuit de référencement défini, qui n’accepte aucun document hors canal. |
| Approche d’un recruteur auprès du personnel d’exploitation | Flatteuse, personnelle, et hors de tout canal de l’entreprise. | Une formation qui nomme le schéma, et un circuit de signalement qui ne coûte rien au salarié. |
Ce n'est pas une hypothèse. Dans son bilan OT 2026, Dragos décrit le groupe qu'il suit sous le nom de PYROXENE, qui mène depuis plusieurs années des campagnes via la chaîne d'approvisionnement en recourant à l'ingénierie sociale contre le personnel d'exploitation, notamment avec de faux profils LinkedIn de recruteurs.[13]
Beaucoup des personnes à atteindre ne lisent pas leurs e-mails.
Travail posté, terminaux partagés et, dans bien des métiers, aucune boîte mail individuelle. Trois populations, trois réponses différentes.
Usines et terrain
Travail posté, terminaux partagés et, dans bien des métiers, aucune boîte mail individuelle. Les simulations par QR code et clé USB les atteignent là où l’e-mail ne passe pas ; la formation arrive sous forme d’affiches, d’infographies et de modules courts plutôt que d’un cours de vingt minutes.
Achats, comptabilité fournisseurs et ingénierie
La population que visent réellement les prétextes liés à la chaîne d’approvisionnement. Simulations par e-mail, SMS, WhatsApp et rappel téléphonique, modules livrés sur la compromission de messagerie et le vol d’identifiants, et affectation adaptative selon l’échec mesuré.
Personnel OT et salles de contrôle
Formé aux contrôles de procédure, pas à la détection des contenus synthétiques. Circuits d’escalade et vérification hors canal, avec la position honnête sur ce que l’on peut et ne peut pas distinguer.
14 formats, 30 langues, dont 9 entièrement localisées aujourd'hui et 21 autres sur demande, et un programme qui couvre la fraude fournisseur, la compromission de messagerie, le vol d'identifiants et les pièces jointes malveillantes. Marque blanche complète avec gestion automatique des devises pour les groupes présents dans plusieurs pays.
Deux annexes, deux classifications, une seule chaîne de preuves.
| Texte | Article | Ce qu’il exige | Comment NOUSEC en apporte la preuve |
|---|---|---|---|
| NIS2 : énergie[3] | Annexe I.1 | Électricité, réseaux de chaleur et de froid, pétrole, gaz et hydrogène sont des secteurs hautement critiques. Les entités les plus grandes sont essentielles au sens de l’art. 3. | Contrôle d’achèvement côté serveur ; tableau de conformité ajusté pour l’audit. |
| NIS2 : industrie manufacturière | Annexe II.5 | Dispositifs médicaux et de diagnostic in vitro ; produits informatiques, électroniques et optiques (NACE 26) ; équipements électriques (27) ; machines et équipements n.c.a. (28) ; véhicules automobiles et remorques (29) ; autres matériels de transport (30) : entités importantes. | La même chaîne de preuves, un autre plafond d’amende. |
| NIS2 | Art. 21(2)(g) | Cyberhygiène et formation à la cybersécurité, au titre des mesures minimales obligatoires. | Des preuves d’achèvement, pas des registres d’affectation. |
| NIS2 | Art. 34(4)–(5) | Les États membres doivent prévoir des amendes maximales d’au moins 10 M€ ou 2 % du chiffre d’affaires mondial (entités essentielles), 7 M€ ou 1,4 % (entités importantes), le montant le plus élevé étant retenu. | — |
| RGPD | Art. 39(1)(b) | Sensibilisation et formation dans le périmètre de contrôle du DPO. | Accusé de lecture des politiques avec suivi des versions. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Compétences, sensibilisation, formation. | Page de vérification publique des certificats. |
Ces résumés réglementaires sont donnés à titre indicatif et ne constituent pas un avis juridique. Le champ d’application et la classification dépendent de la transposition dans votre État membre. Le contrôle d’achèvement et le tableau de conformité sont inclus dès l’offre Essentials ; l’accusé de lecture des politiques et la vérification publique des certificats à partir de Professional ; le journal d’audit et l’export SIEM dans Enterprise.
Les quatre mécanismes sur lesquels repose cette page.
QR code et clé USB abandonnée
Des formats qui fonctionnent sans écran
Affectation adaptative selon l’échec mesuré
Marque blanche dans plusieurs pays
À lire aussi : les attaques de phishing par QR code, et les entrées du glossaire sur la fraude à la facture, l'OSINT et le prétexte (pretexting). Notre propre posture est décrite sur les pages Confiance et Sécurité.
Questions
Ce que demande d’abord le RSSI d’un groupe présent sur plusieurs sites et dans plusieurs pays.
Chaque chiffre de cette page, et sa provenance
Dernière vérification : 21 octobre 2026. Les références réglementaires sont vérifiées sur le texte consolidé d’EUR-Lex à chaque révision.
- 2026 Data Breach Investigations ReportVerizon Business — section sectorielle, p. 84 pour la finance et l’assurance (NAICS 52). Corpus : plus de 31 000 incidents, plus de 22 000 violations confirmées, 145 pays, oct. 2024 – nov. 2025 · 2026Utilisé pour : Industrie manufacturière (31–33) : 3 627 incidents ; 61 % d’implication d’un tiers ; 77 % des attaques sociales sont du phishing ; l’ingénierie sociale, deuxième schéma de violation du secteur, seul rang que le rapport énonce en toutes lettres.
- X-Force Threat Intelligence Index 2026IBM — publié le 25 février 2026, données 2025 · 2026Utilisé pour : L’industrie manufacturière, secteur le plus attaqué pour la cinquième année consécutive, avec 27,7 % des incidents observés.
- OT Cybersecurity Year in ReviewDragos — 9ᵉ édition annuelle, 17 février 2026 · 2026Utilisé pour : 119 groupes de rançongiciel, en hausse de 49 % par rapport aux 80 de 2024, ayant touché 3 300 organisations industrielles, l’industrie manufacturière représentant plus des deux tiers des victimes ; et les campagnes pluriannuelles d’ingénierie sociale de PYROXENE via la chaîne d’approvisionnement contre le personnel d’exploitation. Les 49 % portent sur le nombre de groupes suivis, pas sur les victimes ni les attaques.
- Directive (EU) 2022/2555 (NIS2)Journal officiel de l’Union européenne, JO L 333, 27.12.2022 · 2022Utilisé pour : Article 3 sur la classification selon la taille, article 21(2)(g), article 34(4)–(5) sur les plafonds d’amende, et appartenance aux annexes I.1 et II.5.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organisation internationale de normalisation — 3ᵉ édition · 2022Utilisé pour : Clauses 7.2 et 7.3 ; intitulé de la mesure 6.3 de l’annexe A.