Cyberattaques contre les bâtiments intelligents : comment protéger votre infrastructure.
Les bâtiments ont souvent 50 ans ou plus, tandis que leurs infrastructures ont une durée de vie de dix à vingt ans. La technologie vieillit beaucoup plus vite : les logiciels ont une durée de vie d'un à trois ans, et les correctifs de sécurité sont souvent obsolètes au bout d'un à trois mois seulement. Cet énorme décalage entre les cycles de vie rend les systèmes intelligents vulnérables aux cyberattaques. Les analyses de Maik Paprott, directeur du Centre de cyberdéfense de l'UMB, le démontrent : un pare-feu non mis à jour a permis à des pirates d'accéder à 150 services web en quelques minutes.
#Cyberdéfense
En Suisse, les systèmes connectés, tels que les installations photovoltaïques et les systèmes de gestion technique des bâtiments, connaissent un essor fulgurant. Les bâtiments intelligents sont synonymes d'efficacité et de durabilité, mais sans une sécurité informatique solide, ils deviennent des portes d'entrée pour de dangereuses cyberattaques. De nombreuses technologies issues des décennies passées sont vulnérables. Des mesures et des stratégies pragmatiques – de l’état des lieux aux tests d’intrusion – peuvent combler les failles de sécurité et renforcer la résilience.
Théorie vs réalité : le décalage entre les cycles de vie
En théorie, la cybersécurité semble innovante et omniprésente. Dans le domaine de la gestion technique des bâtiments, la réalité est tout autre. D’après une analyse réalisée par BKW, une entreprise suisse de premier plan dans le secteur des infrastructures et de l’énergie, environ 90 % des bâtiments suisses sont considérés comme vulnérables aux attaques de pirates informatiques. Ils ont souvent 50 ans ou plus ; leur infrastructure a une durée de vie de dix à vingt ans – mais la technologie devient obsolète au bout de trois à cinq ans, les logiciels au bout d’un à trois ans et la sécurité informatique en l’espace d’un à trois mois seulement. Une chronologie illustre cette évolution : en 1961, les plans de bâtiments étaient dessinés à la main, en 1970 à l’aide de machines, et en 1984, les premiers PC ont fait leur apparition. Dans les années 90, les téléphones portables ont fait leur apparition et ont été utilisés dans le processus de planification, puis en 2006 les smartphones, et aujourd’hui les montres connectées, qui contrôlent les systèmes en réseau. Les progrès fulgurants rendent toute nouveauté obsolète dès qu’elle est installée – des lacunes apparaissent entre la planification et l’exploitation. Dans le pire des cas, nous essayons de sécuriser une technologie qui date de l’époque des machines à écrire.
Les défis sont nombreux : manque de sensibilisation concernant les capteurs et les caméras dotés de mots de passe par défaut, surabondance d'informations due à la domotique, manque de visibilité sur les connexions et insuffisance des technologies telles que la segmentation du réseau ou la surveillance. Les dangers directs ne manquent pas non plus : logiciels malveillants, attaques via le Web, hameçonnage, rançongiciels, menaces internes – de la reconnaissance à la réalisation des objectifs de l'attaque.
En Suisse, l’Office fédéral de la cybersécurité (BACS) a signalé environ 63 000 incidents en 2024, soit une augmentation de 26 % par rapport à 2023, les appels menaçants et le phishing occupant une place prépondérante. Au cours du premier semestre 2025 également, près de 36 000 incidents cybernétiques ont été recensés. Les entreprises se sentent donc en insécurité, et ce à juste titre : dans l’étude sur la cybersécurité des PME de 2025, seules 52 % des PME déclarent se sentir protégées – contre 57 % l’année précédente.
Des simples dysfonctionnements à un danger mortel
Le manque de sécurité entraîne des perturbations, telles que des dysfonctionnements au niveau du chauffage, de la ventilation, de l'éclairage ou des systèmes de sécurité. Les données sensibles – des journaux d'accès aux données du personnel – sont menacées. Plus grave encore : des vies humaines sont en jeu, par exemple en cas de panne des systèmes de refroidissement dans les hôpitaux ou si les contrôles d'accès dans les aéroports peuvent être manipulés. Dans le secteur de l’énergie, étroitement lié à la technique du bâtiment, le cyber-sabotage fait peser une menace particulière de pannes généralisées. L’exercice «Cyber Europe» de juin 2024, qui a réuni environ 5 000 participants issus de plus de 30 pays, a simulé une attaque contre le secteur énergétique suisse et mis en évidence les failles des systèmes interconnectés. Exemples concrets : 23 systèmes de régulation web pour le chauffage et la climatisation étaient directement accessibles depuis Internet en raison de pare-feu insuffisants. Il en va de même pour les systèmes Solar-Log : 31 installations photovoltaïques testées en Suisse présentaient des ports ouverts permettant de réinitialiser les mots de passe et d’accéder aux réseaux d’automatisation. Le test déjà mentionné du directeur du Cyber Defense Center de l'UMB : un accès initial via un pare-feu non patché, puis un déplacement latéral par scan, a compromis le système concerné en quelques minutes et exposé potentiellement 150 services web. De telles failles transforment les bâtiments intelligents en vecteurs d'attaque intelligents.
L'IA à la recherche d'accès non autorisés
En Suisse, où le taux de motorisation est élevé (plus de 75 % des ménages possèdent une voiture), les garages connectés ou les bornes de recharge peuvent devenir des points d'entrée. Les tendances actuelles accentuent ce danger : selon le rapport Microsoft Digital Defense, les attaques basées sur l'identité ont augmenté de 32 % au premier semestre 2025, dont 97 % étaient des attaques par « password spraying », c'est-à-dire l'essai massif de mots de passe courants. Dans le secteur de l'électricité, les pirates ont de plus en plus recours à des e-mails de phishing basés sur l'IA ou à des deepfakes pour tromper le personnel de maintenance. Un exemple datant de 2024 : un ransomware a frappé un fournisseur d’énergie genevois, qui a été paralysé par des systèmes de gestion technique des bâtiments (BMS) non sécurisés – coût : 4,5 millions de CHF par incident (selon une étude Deloitte de 2025). Depuis avril 2025, 164 attaques contre des infrastructures critiques ont été signalées, entraînant des pannes de système ou des chantages. Les fournisseurs d’énergie ont également été touchés. La directive NIS-2 révisée de l’UE oblige les exploitants d’installations critiques à réaliser des analyses de risques. En Suisse, une nouvelle obligation de déclaration intersectorielle des cyberattaques contre les infrastructures critiques (CSV) s’applique également, introduisant à partir d’avril 2025 une obligation de déclaration des incidents dans les 24 heures. La directive NIS 2 de l'UE étend cette obligation aux chaînes d'approvisionnement et concerne également les entreprises suisses ayant des liens avec l'UE, en exigeant une résilience dans 18 secteurs, y compris la technique du bâtiment.
Six étapes vers la résilience
Les solutions pratiques s'appuient sur des normes telles que l'ISO 27001. Ces six étapes sont évolutives et accordent la priorité au transfert de connaissances, complétées par les recommandations du BACS telles que la segmentation du réseau, l'authentification multifactorielle (MFA), les mises à jour et les plans de réponse aux incidents :
- Inventaire et visibilité : Dressez un inventaire de vos systèmes en réseau, par exemple à l'aide de plateformes de gestion de la surface d'attaque ou des services de surveillance DigitalRisk.
- Segmentation du réseau et séparation IT/OT : isolez les systèmes techniques du bâtiment à l'aide de VLAN, de pare-feu et de la surveillance OT.
- Gestion des accès : principe du privilège minimal, MFA, VPN sécurisés et journalisation.
- Mises à jour régulières et gestion des correctifs : appliquez les correctifs aux appareils de commande et aux passerelles ; exigez que les fabricants assument leurs responsabilités.
- Sensibilisation et responsabilités : définissez les rôles ; les formations permettent de réduire les erreurs humaines jusqu’à 70 %.
- Reg Teaming/tests d’intrusion : simulez des attaques afin de détecter les vulnérabilités à un stade précoce.
Autres recommandations : solution avancée de détection et de réponse gérées (MDR), journalisation avec stockage externe et solution de détection et de réponse réseau (NDR) pour des analyses en temps réel, ainsi qu'une attribution stricte des droits avec des révisions périodiques.
Ces mesures sont rapidement rentabilisées : les pannes évitées permettent d'économiser des millions. Depuis 2023, l'Office fédéral de l'énergie (OFEN) encourage les certifications de bâtiments selon des normes de cybersécurité. En complément, la KBOB a publié en juillet 2025 la recommandation « Sécurité des TIC dans l'automatisation des bâtiments ».
La résilience grâce à la culture et au pragmatisme
Les bâtiments intelligents innovants dépourvus de sécurité représentent un risque majeur : ils deviennent des points d’entrée pour les cyberattaques. La cybersécurité doit être prise en compte dès le départ, du cahier des charges à la remise des clés. Lors d’un congrès sur le bâtiment organisé par BKW en septembre 2025, la «cybersécurité dans la technique du bâtiment» a d’ailleurs fait l’objet d’une discussion. Les participants sont arrivés à la conclusion que des solutions pragmatiques, des responsabilités claires et une culture de la sécurité bien ancrée sont nécessaires – allant de l’intervention réactive de type « pompiers » à la prévention proactive et à l’analyse forensic. La technologie seule ne suffit toutefois pas ; la résilience protège la durabilité et la sécurité d’exploitation. C’est précisément dans le secteur électrique, où les réseaux intelligents et la mobilité électrique convergent, qu’il est urgent d’agir.
Un état des lieux met en évidence des lacunes. En tant que membre du groupe BKW, qui couvre l’énergie, les réseaux et les services, UMB AG dispose d’une expertise complète en matière de sécurité – du conseil en matière de RSSI aux services de cyberdéfense, en passant par les réseaux «zero trust».
La Suisse dans le collimateur des cyberattaques
- En 2024, environ 63 000 incidents cybernétiques ont été signalés, soit une hausse de 26 % (source : rapport annuel 2024 du BACS). Les appels menaçants et le phishing sont particulièrement fréquents.
- Un incident cyber coûte en moyenne 4,5 millions de CHF aux entreprises suisses (source : étude Deloitte 2025).
- Le marché de la cybersécurité en Suisse atteindra 1,15 milliard de CHF d'ici 2030 (source : Statista Market Forecast).
- Des mesures efficaces réduisent considérablement les efforts réactifs, passant de 10 000 à 1 000 heures par an consacrées à la prévention.
