Cybersécurité logistique : quand l’attaque arrête l’entrepôt, pas les données

Le 31 août 2025, Jaguar Land Rover découvre une intrusion dans son système d’information. La réponse du constructeur est radicale : tout déconnecter. Dès les premiers jours de septembre, les principales usines britanniques sont à l’arrêt — pour plusieurs semaines. Aucune donnée client n’était en cause dans ce qui a paralysé la production : c’est la coupure du système lui-même qui a stoppé les flux physiques.

Voilà ce qui distingue la cybersécurité logistique d’un sujet de sécurité informatique classique. Dans un entrepôt, un WMS indisponible ne dégrade pas le service : il l’interrompt. Les préparateurs n’ont plus d’ordres de mission, les terminaux radio ne renvoient rien, les quais ne savent plus quoi charger. Le Panorama de la cybercriminalité publié en janvier par le Clusif confirme que le secteur est désormais une cible assumée des groupes criminels. La question n’est plus de savoir si l’on sera visé, mais ce qu’on est capable de faire le jour où le système tombe.

Une menace qui a changé de nature

Le Panocrim, réalisé chaque année par le Clusif — association reconnue d’utilité publique dont les membres comptent des représentants de l’ANSSI et de la CNIL —, dresse l’état de la menace en France et dans le monde. Sa dernière édition décrit une accélération nette : le volume d’attaques informatiques aurait progressé de plus de 35 % au niveau mondial, à l’initiative de 137 groupes criminels identifiés, dont les plus actifs sont Qilin et Akira. Leur orientation change également, vers les chaînes d’approvisionnement de l’industrie lourde et de la défense.

Le mode opératoire se professionnalise. « C’est la fin de l’artisanat, on affronte de véritables holdings industrielles, structurées et organisées », résume Michel Bax, analyste chez Allianz. L’intelligence artificielle a franchi un cap dans ce mouvement : selon Gérôme Billois, responsable de l’activité cybersécurité chez Wavestone, 2025 marque « l’année de la concrétisation des premières réelles attaques dans le domaine de l’intelligence artificielle ».

Côté supply chain, le baromètre des risques 2026 du cabinet Kyu place les menaces cyber en troisième position, avec un impact jugé « fort » et une occurrence « très probable » dans un contexte de guerre hybride. Les chiffres sectoriels suivent : jusqu’à 17,7 % des entreprises de transport et de logistique déclarent avoir subi des pertes liées à une cyberattaque au cours des douze derniers mois.

Pourquoi la logistique encaisse plus mal que d’autres secteurs

Deux caractéristiques rendent le secteur particulièrement exposé.

La première tient à la nature de l’activité. Une banque dont le système tombe traite ses opérations en différé ; un entrepôt dont le WMS tombe ne stocke rien en attente — les camions se présentent quand même aux quais, les commandes clients continuent d’arriver, et chaque heure d’arrêt se transforme en retard de livraison qui se répercute en cascade. L’activité est physique, synchrone, et ne se met pas en pause.

La seconde tient à l’interconnexion. Un site logistique n’est jamais un système isolé : il échange en permanence avec l’ERP, le TMS, les portails de ses donneurs d’ordre, les flux EDI de ses clients, et le WCS s’il est automatisé. Chacune de ces liaisons est une porte, et la sécurité de l’ensemble se mesure au maillon le plus faible — qui n’est pas forcément le vôtre.

C’est d’ailleurs ce qui rend l’argument « nous sommes trop petits pour intéresser qui que ce soit » particulièrement dangereux. Une PME logistique n’est pas visée pour ce qu’elle vaut, mais pour ce à quoi elle donne accès. Et le point d’entrée reste banal : environ 60 % des attaques dans le secteur commencent par un simple e-mail.

NIS2 : l’obligation arrive, même sans loi française

La directive européenne NIS2 place le transport — aérien, ferroviaire, maritime et routier — en annexe I, parmi les secteurs dits hautement critiques. Le changement d’échelle est net : environ 15 000 entités seraient concernées en France, contre quelques centaines sous le régime précédent.

Les obligations sont concrètes : enregistrement auprès de l’ANSSI, alerte précoce dans les 24 heures suivant un incident important, notification sous 72 heures, rapport final sous un mois. Les sanctions peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, avec une responsabilité qui peut être engagée personnellement lorsque les mesures nécessaires n’ont pas été prises.

Particularité française : à l’été 2026, la loi de transposition n’est toujours pas promulguée. Le texte a été adopté en première lecture au Sénat en mars 2025, et son passage à l’Assemblée était évoqué pour juillet 2026. Ce flottement calendaire n’est pas une raison d’attendre — les délais de mise en conformité se comptent en mois de travail, pas en semaines, et le calendrier de publication reste hors de votre contrôle.

Le mode dégradé, ce plan que personne ne teste

La protection périmétrique — sauvegardes, segmentation réseau, sensibilisation au phishing, authentification renforcée — reste la base, et elle est largement documentée ailleurs. Le point aveugle est ailleurs : que fait l’entrepôt pendant que les équipes techniques reconstruisent le système ?

Beaucoup de sites disposent d’une procédure dégradée théorique, souvent papier, écrite au moment du déploiement du WMS et jamais rouverte depuis. Elle décrit un fonctionnement qui a parfois changé trois fois entre-temps. Elle suppose des listes d’emplacements et des états de stock imprimables, que personne n’imprime plus. Et elle ne répond presque jamais à la question la plus importante : comment resynchroniser les données quand le système revient, après trois jours d’activité tracée à la main ?

Une procédure dégradée qui n’a jamais été jouée n’est pas un plan, c’est un document. La tester relève de la même logique qu’un exercice d’évacuation : sur une demi-journée, sur un flux réduit, avec les équipes réelles. C’est inconfortable à organiser, et c’est précisément pour cette raison que ça ne se fait pas — jusqu’au jour où l’exercice devient la réalité, sans répétition préalable. Nous détaillons cette exigence de continuité dans notre guide sur le déploiement d’un WMS, où elle se prépare dès la phase projet.

Par où commencer

Trois questions permettent de situer rapidement le niveau de préparation d’un site : combien de temps l’exploitation peut-elle tenir sans WMS avant que les livraisons décrochent, qui décide de déconnecter les systèmes en cas d’intrusion — et à quel moment —, et la procédure dégradée a-t-elle été jouée au moins une fois avec les équipes en poste aujourd’hui ?

Si les réponses n’existent pas, elles constituent le premier chantier, avant même l’achat d’un outil de sécurité supplémentaire. La menace décrite par le Clusif ne se traite pas uniquement en amont : elle se traite aussi en préparant ce qui se passe après.

FAQ