La cyberguerre ne touche pas uniquement l'Occident. C'est déjà là.
À l’occasion de la journée « 10 mai », les gouvernements américain et européens ont officiellement déclaré que l’invasion de l’Ukraine par la Russie avait débuté par une cyberattaque orchestrée par l’État contre des infrastructures de communication essentielles — une attaque qui s’est propagée depuis l’Ukraine vers les réseaux Internet par satellite dans toute l’Europe. Selon les responsables, cela laisse présager des perturbations à l'échelle mondiale, les infrastructures essentielles telles que les services publics, la production alimentaire et les services d'urgence étant menacées.
En réalité, tout porte à croire que ce type d'attaques a déjà commencé.
Plusieurs entreprises allemandes du secteur de l'éolien , qui contribuent à la transition rapide de l'Allemagne vers l'indépendance énergétique vis-à-vis de la Russie, ont récemment été victimes de cyberattaques qui ont entraîné la mise hors service de certains de leurs systèmes. En privé, les gouvernements occidentaux ont imputé la responsabilité d'une cyberattaque alarmante aux services de renseignement militaire russes. Cette attaque a paralysé Viasat, une importante société de télécommunications par satellite basée en Californie, dont l'Ukraine, les opérateurs du secteur éolien et de nombreuses autres entreprises européennes dépendent pour leurs services Internet.
Les attaques menées par des États contre des infrastructures critiques sont bien sûr antérieures à la guerre. La North American Electric Reliability Corporation (NERC) a constaté une augmentation de 170 % des attaques par ransomware visant les entreprises du secteur de l'électricité, dont le nombre est passé de 2019 à 2020. Par ailleurs, lors d’un récent épisode de l’émission « » (60 Minutes), , Jen Easterly, directrice de l’Agence pour la cybersécurité
et la sécurité des infrastructures (CISA), a déclaré que la Russie
prévoyait presque certainement de s’attaquer directement aux infrastructures américaines,
, et que les organisations — ainsi que chacun d’entre nous — devaient se préparer à l’inévitable.
Une catastrophe informatique se profile-t-elle à l'horizon, dans laquelle des pirates informatiques soutenus par des États paralyseraient en masse les services publics et laisseraient la population dans le noir ? Même s'il n'y a peut-être pas encore lieu de céder à la panique, les experts s'accordent à dire qu'il est temps de renforcer les mesures de précaution, sans tarder.
Réseaux énergétiques, infrastructures critiques : des cibles de choix pour une cyberattaque
Un client du secteur de l'énergie a récemment indiqué à Tyler Costello, vice-président régional des ventes chez Tanium, qu'il avait constaté une augmentation de 40 % des cyberattaques par rapport à l'année précédente. « Mais leur budget consacré à la sécurité n'a pas augmenté de 40 % », déclare M. Costello. « Et ils ne peuvent pas lever des fonds comme le ferait une entreprise privée, car ils sont soumis à une réglementation très stricte. » « Il existe toute une série de facteurs qui font des services d’ s des cibles particulièrement vulnérables aux cyberattaques. »
«Les infrastructures critiques sont actuellement dans le collimateur. » Il faut vraiment que nous y prêtions attention. »Tyler Costello, vice-président régional des ventes chez Tanium
L'une des principales faiblesses du réseau énergétique réside dans l'étendue colossale de sa surface d'attaque. « On s'appuie aujourd'hui plus que jamais sur les technologies opérationnelles [OT] », déclare Kenneth Mendelson, directeur général senior du pôle Sécurité nationale chez Guidepost Solutions, une organisation internationale spécialisée dans les enquêtes de sécurité, la conformité et le conseil. Les capteurs de l'Internet des objets (IoT) sont désormais monnaie courante dans les secteurs de l'industrie manufacturière, des services publics et d'autres infrastructures critiques, mais leur sécurité reste inégale.
Les systèmes SCADA (contrôle de supervision et acquisition de données) , qui constituent une « industrielle » peu performante, , gèrent également l'ensemble des processus, de la production d'électricité aux réseaux de canalisations. À l'origine, elles avaient été conçues pour fonctionner de manière autonome — en partie parce qu'il n'y avait pas encore d'Internet à l'époque —, mais elles ont été propulsées dans l'ère numérique, qu'elles y soient prêtes ou non. Ces systèmes restent vulnérables à des attaques parfois même rudimentaires et constituent certaines des failles les plus fondamentales auxquelles sont confrontées aujourd'hui les entreprises du secteur des infrastructures.
L'une des attaques les plus marquantes contre des systèmes SCADA s'est produite en 2015 , en Ukraine, où un pirate a perturbé un système de production d'électricité et privé d'électricité 225 000 foyers en plein cœur de l'hiver. Il n'y avait rien de particulièrement singulier dans les infrastructures ukrainiennes qui ait rendu cela possible. Des experts ont fait remarquer que cette méthodologie pourrait certainement être reproduite dans d'autres pays.
[À lire également : Pourquoi les cybercriminels s'attaquent aux petits services publics]
L'attaque « 2015 Ukraine » a constitué la première attaque contre un réseau électrique dont l'existence a été officiellement confirmée, mais ce n'était pas la dernière fois qu'un service public en était victime. Les réseaux d'approvisionnement en eau ont été piratés, et la débâcle du Colonial Pipeline , qui a entraîné l'interruption de l'approvisionnement en carburant à travers les États-Unis, continue d'avoir un impact considérable un an après le piratage. Dans une enquête menée par Siemens et publiée sur auprès de 2019 entreprises, 56 % des services publics ont déclaré avoir été victimes d'une cyberattaque au cours de l'année précédente.
« Les infrastructures critiques sont actuellement dans le collimateur », déclare M. Costello. « C'est particulièrement effrayant, car on sait qu'ils sont vulnérables. » La Russie pourrait très facilement anéantir New York, Boston ou n'importe quelle autre ville. « Nous devons vraiment y prêter attention. »
Les experts en cyberguerre lancent un avertissement : « C'est en train de se produire »
La bonne nouvelle, c'est que les organisations, notamment aux États-Unis, se sont vivement intéressées à la sécurité des infrastructures, en imposant des réglementations et des amendes sévères aux opérateurs d'infrastructures critiques qui ne respectent pas des normes de sécurité de plus en plus strictes. Le NERC, un « organisme d’autorégulation » non gouvernemental, peut infliger aux fournisseurs d’électricité en gros qui ne respectent pas les normes des amendes pouvant aller jusqu’à 1 million de dollars par infraction par jour. Le record actuel en matière d'amende remonte à 2019, lorsqu'une amende de 10 millions de dollars a été infligée à un fournisseur d'énergie régional inconnu — vraisemblablement Duke Energy — pour 127 infractions réglementaires distinctes.
«Il s'agit de l'une des meilleures ressources à la disposition de toute organisation confrontée à ces menaces. »Kenneth Mendelson, directeur général senior du pôle Sécurité nationale chez Guidepost Solutions
« Un autre changement réside dans l’existence d’une ressource qui n’existait pas auparavant : la CISA », explique M. Mendelson, de Guidepost Solutions. « Il s'agit de l'une des meilleures ressources à la disposition de toute organisation confrontée à ces menaces. » Ils fournissent non seulement un résumé de chaque nouvelle menace, mais aussi des conseils pour y remédier, des liens vers des correctifs, et bien plus encore. « Tout professionnel de la sécurité de l'information devrait ajouter à ses favoris [son site web], car il est extrêmement utile et d'une actualité brûlante. »
M. Costello abonde dans ce sens : « L’initiative de la CISA intitulée “ ” Shields Up est véritablement en train de sensibiliser les gens. » Les gens passent enfin de « Cela va arriver » à « Cela
est en train de se produire ».
Adopter de bonnes pratiques en matière de cybersécurité
Certains des meilleurs conseils tactiques en matière de protection des infrastructures critiques concernent des mesures fondamentales de cyberhygiène et de . « Dressez l’inventaire de tout ce qui est connecté à votre réseau », explique M. Mendelson, « car on ne peut pas sécuriser ce qu’on ne voit pas. » Il recommande également d'isoler les dispositifs SCADA du réseau de l'entreprise. Une conception négligée peut entraîner une segmentation du réseau et une configuration incorrecte des pare-feu. Il ajoute : « Beaucoup de gens pensent qu’ils ne sont pas connectés alors qu’en réalité, ils le sont. »
Le piratage de la station de traitement des eaux d'Oldsmar, en Floride, est un exemple d'intrusion qui aurait pu être évitée grâce à de meilleures pratiques de cybersécurité. Même si des dispositifs avaient été mis en place pour éviter une catastrophe, cette fuite aurait pu empoisonner des milliers de personnes avec des concentrations élevées de soude caustique, le principal composant des produits liquides de débouchage.
« [Oldsmar] illustrait un cas d’isolation inadéquate des communications de données et d’authentification insuffisante entre la salle de contrôle de la station de traitement de l’eau et Internet », explique Bill Moore, PDG et fondateur de Xona Systems, une entreprise spécialisée dans la sécurité des technologies opérationnelles (OT). Le site d'Oldsmar n'utilisait pas d'authentification multifactorielle, ce qui a aggravé le problème. Dans une analyse publiée par l' , la CISA a indiqué que le logiciel Windows TeamViewer, qui repose sur le protocole RDP (Remote Desktop Protocol) largement utilisé, constituait une faille critique permettant aux pirates informatiques de s'infiltrer dans la station d'épuration. M. Moore souligne que le protocole RDP constitue la principale faille que les attaques par ransomware de type « » continuent d'exploiter à ce jour.
Réduire les risques liés à la cybersécurité grâce à une infrastructure plus performante
Une solution ambitieuse consiste à repenser complètement la manière dont le monde aborde les infrastructures. Riggs Eckelberry est PDG et fondateur d'OriginClear, une start-up technologique qui entend révolutionner le secteur de l'eau. L'offre d'OriginClear comprend un marché à terme, une plateforme « as-a-service » et de petits systèmes modulaires préfabriqués de traitement de l'eau destinés aux entreprises qui souhaitent s'assurer un approvisionnement en eau dédié. Son objectif est de permettre à chacun de produire lui-même son eau et de libérer les consommateurs d'un réseau de distribution vieillissant et vulnérable.
« Le secteur de l'eau connaît des problèmes majeurs », déclare M. Eckelberry. « L'ancien modèle centralisé est en train de s'effondrer et ne bénéficie pas d'un financement suffisant de la part du gouvernement fédéral. » « La vulnérabilité informatique est bien réelle. »
Pour M. Eckelberry, la décentralisation constitue l'une des réponses au risque cybernétique, car elle répartit la surface d'attaque entre des centaines de milliers d'installations potentiellement beaucoup plus petites et moins critiques. Si un nœud tombe en panne, les conséquences sont limitées. De plus, ajoute-t-il, ces systèmes sont conçus dès le départ dans une optique de sécurité, plutôt que de s'appuyer sur des mises à jour apportées à un ensemble disparate de codes SCADA obsolètes.
M. Eckelberry affirme que le concept d'indépendance vis-à-vis des services publics n'est pas nouveau. Considérez comment les installations solaires sur les toits, les systèmes de stockage par batterie et même les systèmes de récupération des eaux de pluie ont apporté aux consommateurs un niveau de sécurité accru dans un monde où les coupures d'électricité et le rationnement de l'eau sont en
e augmentation.
Cela dit, toute solution isolée semble de plus en plus n'être qu'une solution provisoire. Selon M. Costello, de Tanium, les problèmes sont « considérables » dans le secteur des services publics ; ils concernent notamment les systèmes hérités, la dispersion des appareils et les contraintes en matière de ressources. « Et puis, les Russes leur tombent dessus », dit-il. « Ils ont utilisé leurs doigts et leurs orteils pour colmater la brèche, mais ils n'en ont bientôt plus. »
