Quand l'ennemi partage les mêmes outils que l'État : une ETI industrielle tire les leçons d'une défense sans tutelle américaine

# Quand l'ennemi partage les mêmes outils que l'État : une ETI industrielle tire les leçons d'une défense sans tutelle américaine

Le signal d'alerte qui a tout changé

Printemps 2025. Une ETI industrielle de 800 salariés, sous-traitant de rang 2 pour le secteur de la défense civile en Europe centrale, détecte une anomalie dans ses flux réseau. Pas une attaque frontale. Pas un ransomware classique. Quelque chose de plus discret : des mouvements latéraux lents, méthodiques, qui épousent exactement les angles morts de leurs outils de détection.

Le RSSI de l'entreprise — appelons-le Marek — fait remonter l'incident à son prestataire de cybersécurité. La réponse arrive rapidement, mais elle contient une information qui va modifier durablement la posture de l'entreprise : les techniques utilisées correspondent à des TTPs — tactiques, techniques et procédures — documentées à la fois dans des rapports d'attribution étatique et dans des forums cybercriminels accessibles. La frontière entre l'attaquant opportuniste et l'acteur sponsorisé par un État n'est plus lisible. Et les indicateurs de compromission fournis en temps réel par les grandes plateformes de Threat Intelligence proviennent, pour l'essentiel, de sources américaines soumises à des logiques d'intérêt propres.

Ce n'est pas une question de complot. C'est une question de design.

La dépendance invisible au renseignement américain

Pendant des années, l'industrie de la cybersécurité européenne a fonctionné selon un modèle implicite : les grands acteurs américains produisent le renseignement sur les menaces, les acteurs locaux l'intègrent et le redistribuent. Les flux de Threat Intelligence — ces bases de données d'indicateurs malveillants, de signatures d'attaques, de bulletins d'alerte — sont massivement issus d'infrastructures américaines, soumises au droit américain, et orientées selon des priorités américaines.

Pour une ETI européenne opérant dans un secteur sensible, cette architecture crée une dépendance structurelle rarement nommée comme telle. Marek le formule sans détour : « On recevait des alertes pertinentes sur des menaces visant des entreprises américaines. Sur les menaces visant notre secteur, notre géographie, notre type d'infrastructure — on était souvent les derniers informés, ou pas informés du tout. »

La situation s'est aggravée avec la convergence des outils. Ce que l'on observait autrefois comme une ligne de partage nette — les cybercriminels d'un côté, les acteurs étatiques de l'autre — s'est progressivement brouillé. Des outils de post-exploitation développés par des groupes liés à des États se retrouvent recyclés dans des campagnes purement lucratives. Des ransomware-as-a-service intègrent des techniques d'évasion d'abord documentées dans des opérations d'espionnage. Et inversement.

Dans ce contexte, s'appuyer sur un renseignement produit par des tiers dont les priorités géopolitiques ne coïncident pas nécessairement avec les vôtres devient un pari risqué.

Ce que l'ETI a réellement changé

L'incident de 2025 a servi de catalyseur. Non pas parce qu'il a causé des dégâts majeurs — la détection a été suffisamment précoce — mais parce qu'il a rendu visible une fragilité que l'entreprise n'avait pas voulu regarder en face.

La première décision a été de cartographier précisément d'où venait le renseignement sur les menaces intégré dans leur SIEM. Le résultat était édifiant : l'essentiel des flux provenait de deux agrégateurs, eux-mêmes dépendants de sources américaines pour la majorité de leur contenu à haute valeur. Les flux européens — issus du CERT-EU, de certains ISAC sectoriels, de quelques acteurs souverains — représentaient une part marginale de ce qui alimentait réellement les alertes.

Deuxième décision : réorienter une partie du budget vers des acteurs de Threat Intelligence dont le périmètre de collecte est ancré dans l'espace européen. L'ETI a notamment travaillé avec une structure française spécialisée dans la surveillance des infrastructures d'attaque ciblant l'industrie manufacturière européenne. Pas un grand nom. Pas une plateforme globale. Une équipe analytique dont le modèle repose sur une collecte de terrain, en langue locale, sur des forums et des infrastructures que les plateformes américaines couvrent mal ou tardivement.

Troisième décision, plus structurante : investir dans la capacité interne de détection comportementale, indépendamment des indicateurs de compromission externes. L'idée est simple mais exigeante : si les IoC arrivent en retard, si les signatures sont calibrées pour d'autres menaces, il faut être capable de détecter l'anormal sans s'appuyer sur une liste de ce qui est connu comme malveillant. C'est techniquement plus complexe. C'est aussi beaucoup moins dépendant d'un tiers.

Ce que cela révèle de la position européenne

Le cas de cette ETI n'est pas exceptionnel. Il est représentatif d'une tension que beaucoup de DSI et RSSI européens ressentent sans toujours la formuler : la cybersécurité opérationnelle de leurs organisations repose sur une chaîne d'approvisionnement en renseignement qu'ils ne contrôlent pas, produite selon des critères qu'ils ne définissent pas.

En 2026, le marché européen de la Threat Intelligence souveraine reste fragmenté. Il existe des acteurs compétents — en France, en Allemagne, aux Pays-Bas, dans les pays nordiques — mais leur couverture sectorielle et géographique est inégale, et leur capacité à s'interconnecter pour produire une vision cohérente du paysage des menaces européen reste limitée. L'ENISA joue un rôle de coordination, mais sa production reste à un niveau de généralité qui sert difficilement l'opérationnel quotidien d'une ETI.

C'est là que réside l'enjeu industriel. Pas dans la création d'un grand acteur européen qui dupliquerait les modèles américains à l'échelle continentale — cette voie a montré ses limites. Mais dans le développement d'un tissu dense d'acteurs spécialisés, capables de couvrir des verticales sectorielles précises, interconnectés par des standards ouverts et des protocoles de partage d'information qui ne passent pas par des infrastructures extraterritoriales.

Quelques initiatives vont dans ce sens. Le réseau des CERT nationaux s'est renforcé. Certains ISAC — notamment dans l'énergie et le transport — ont amélioré leur réactivité. Mais pour le tissu des PME et ETI industrielles, souvent trop petites pour rejoindre les structures sectorielles les plus actives, le chemin reste long.

Les conclusions que Marek a tirées

Dix-huit mois après l'incident, Marek dresse un bilan nuancé. La posture de sécurité de l'entreprise est objectivement meilleure. Pas parce qu'ils ont dépensé plus — le budget global a été réalloué, pas augmenté. Mais parce que la nature de la dépendance a changé.

« On est passé d'une situation où on recevait du renseignement qu'on ne pouvait pas interroger à une situation où on produit une partie de notre propre compréhension de ce qui nous menace. C'est inconfortable, parce que c'est plus de travail. Mais c'est nôtre. »

Il souligne également un effet secondaire inattendu : la qualité des échanges avec leurs partenaires de la chaîne de sous-traitance s'est améliorée. En développant une capacité d'analyse interne, l'ETI est devenue un interlocuteur plus crédible dans les discussions sur la posture de sécurité collective de la filière. Elle apporte quelque chose, au lieu de simplement consommer.

C'est peut-être la leçon la plus transférable : la souveraineté en matière de cyberdéfense ne se décrète pas en changeant de fournisseur. Elle se construit en développant une capacité à comprendre sa propre situation de menace, sans déléguer entièrement cette compréhension à des acteurs dont les intérêts et les contraintes sont différents des vôtres.

Dans un contexte où les mêmes outils servent à la fois des criminels et des États, et où les renseignements sur ces menaces sont produits selon des priorités géopolitiques que l'Europe ne maîtrise pas, c'est une exigence de base. Pas une option.