Les cybermenaces persistantes constituent un défi majeur pour le réseau électrique américain.
C'est l'un des principaux avertissements lancés par l'organisme national de surveillance du réseau électrique, la North American Electric Reliability Corporation (NERC), qui a publié cette évaluation dans un récent rapport intitulé « » ().
L'année dernière, les entreprises du secteur des services publics ont enregistré chaque jour des milliers d'incidents informatiques suspects, selon le rapport « août 2021 ».
Les attaques par ransomware ont bondi de 170 %, les problèmes liés à la chaîne d'approvisionnement ont augmenté de 118 %, les problèmes de vulnérabilité ont grimpé de 156 % et les activités suspectes ont progressé de 111 %, selon le NERC, qui supervise les normes de fiabilité obligatoires applicables aux fournisseurs de réseaux électriques à grande échelle aux États-Unis et au Canada. Les fournisseurs ont également signalé une hausse de 96 % du nombre de vulnérabilités et de problèmes de cybersécurité enregistrés sur le portail « » ( ) de l'E-ISAC (Electricity Information Sharing and Analysis Center).
« Les types de menaces auxquelles nous sommes confrontés, leur persistance, le nombre de vecteurs d’attaque, ainsi que la nature de plus en plus décentralisée du système qui multiplie ces vecteurs d’attaque : tous ces éléments ont pris de l’ampleur », a déclaré John Moura, directeur de l’évaluation de la fiabilité et de l’analyse des performances au NERC, aux journalistes lors d’une conférence de presse la semaine dernière. « Contrairement à d’autres risques, ceux-ci sont plus difficiles à gérer, car il s’agit d’acteurs malveillants. »
L'essor du télétravail provoqué par la pandémie a élargi le champ d'action des pirates informatiques au cours de l'année 2020 et a créé un contexte propice à la multiplication des incidents de cybersécurité et à l'augmentation de l'inquiétude au sein du secteur. Par ailleurs, bien que les pirates aient eu recours à des stratégies bien connues, telles que l’ , le phishing, les logiciels malveillants et les ransomwares, ils ont de plus en plus ciblé les chaînes d’approvisionnement, a déclaré le NERC, citant la faille de sécurité dans la chaîne d’approvisionnement de SolarWinds comme illustration de la « capacité et de la persévérance extraordinaires des adversaires ».
Les conclusions de l'organisme de surveillance laissent présager un avenir inquiétant pour le secteur des services publics. En avril, les pirates informatiques ont amplement démontré leur capacité à s'introduire dans les systèmes des entreprises du secteur de l'énergie lors de l'attaque par ransomware visant le Colonial Pipeline , menée par le groupe « ». Alors qu'il ne reste plus que quelques mois avant la fin de l'année 2021, la surface d'attaque des services publics reste étendue et ne montre aucun signe de diminution, en raison de la poursuite du télétravail.
Signaux d'alarme
Parmi les incidents informatiques signalés par les services publics en 2020, certaines tendances et certains types d'attaques ont retenu l'attention du NERC. Selon ce rapport, les auteurs de ransomware délaissent les campagnes de hameçonnage génériques au profit de la recherche de « cibles à forte valeur ajoutée », telles que des organisations tierces, notamment les fournisseurs de services gérés. Pour illustrer ce type de cyberattaque, il suffit de citer l'attaque de type « » visant la chaîne d'approvisionnement de la société de logiciels américaine Kaseya , survenue en juillet.
Les attaques par déni de service distribué avec demande de rançon (RDDoS) ont également suscité des inquiétudes. Selon le NERC, des pirates informatiques ont pris pour cible, l'année dernière, des milliers d'organisations à travers le monde, exigeant des paiements en bitcoins pour empêcher une attaque DDoS. Bien que les services publics aient réussi à atténuer les effets de cette attaque, « son ampleur et son impact potentiel » ont suscité des inquiétudes, a déclaré le NERC.
Les vulnérabilités critiques constituaient une autre source de préoccupation. Les entreprises dépendent de plus en plus des produits de sécurité réseau, tels que les pare-feu périmétriques et les appareils de réseau privé virtuel, pour gérer le télétravail. À mesure que ces appareils se sont généralisés, les vulnérabilités susceptibles de permettre à des pirates d'accéder aux systèmes se sont également multipliées.
«Contrairement à d’autres risques, ceux-ci sont plus difficiles à gérer car il s’agit d’acteurs malveillants. »John Moura, directeur de l'évaluation de la fiabilité et de l'analyse des performances au NERC
S'il est facile de s'alarmer face aux percées réalisées par les pirates informatiques dans le secteur des services publics, les vulnérabilités que les cybercriminels tentent d'exploiter — telles que les failles en matière de cyberhygiène , et ou le manque de visibilité sur les chaînes d'approvisionnement — sont bien connues et peuvent être corrigées.
Planification stratégique
Le NERC insiste sur la nécessité de revoir et d'améliorer les stratégies en matière d'hygiène informatique. Idéalement, cela implique de s'assurer que les logiciels sont à jour, que les opérations de gestion des correctifs sont réactives et effectuées en temps opportun, que les appareils connectés à Internet sont correctement configurés, que les droits d'administrateur sont strictement contrôlés, que les mots de passe sont forts et régulièrement mis à jour, et qu'une politique de « zéro confiance » est mise en œuvre pour l'accès au réseau. Des plateformes telles que celle de Tanium peuvent aider les entreprises de services publics de toutes tailles à surveiller les terminaux et à suivre l'évolution des appareils et des logiciels qui se sont multipliés dans le cadre du télétravail.
Le NERC insiste sur la nécessité pour les employés de rester vigilants face au spear phishing. L'organisme de surveillance précise également que les équipes de sécurité doivent rester vigilantes face aux pirates informatiques qui tentent de recruter leurs employés et leurs prestataires. Les entreprises de services publics devraient évaluer de manière approfondie les contrats « clé en main », qui sont courants dans ce secteur et peuvent constituer un risque de sécurité persistant tout au long du cycle de vie d'une infrastructure.
L'un des principaux moyens de défense pour l'ensemble du secteur des services publics consiste à partager des informations en temps réel afin d'alerter les cibles potentielles des menaces. Heureusement, le secteur réagit, y compris l s petites entreprises de services publics, qui ne relèvent pas de la compétence de l'organisme de surveillance. Sur la base des retours d'expérience qu'il reçoit actuellement, l'E-ISAC lance des projets pilotes visant à améliorer la visibilité au sein des principaux systèmes de technologie opérationnelle, ainsi que des réseaux informatiques.
Une bonne nouvelle qui ressort du rapport du NERC est qu’aucun des incidents cybernétiques survenus l’année dernière n’a entraîné de perte de charge sur le réseau électrique national. Toutefois, la recrudescence des attaques de pirates informatiques visant les périmètres de sécurité, conjuguée à l'extension des réseaux à distance que les services publics exploiteront dans un avenir prévisible, fait que les conclusions du NERC constituent un signal d'alarme que le secteur ne peut ignorer.