La guerre cachée contre nos réseaux électriques

Les cyberattaques contre notre secteur énergétique constituent une menace constante et insidieuse. Elles se manifestent rarement par des explosions spectaculaires ou des destructions visibles. Elles sont au contraire subtiles. Les attaquants infiltrent discrètement les systèmes, collectent des renseignements ou sabotent progressivement les opérations. Cette approche discrète confère à ces attaques une dangerosité redoutable. Tel un cambrioleur numérique qui crochete une serrure au lieu de défoncer une porte, les attaquants ciblent les infrastructures critiques dans l’ombre, ce qui en fait une guerre non déclarée.

Le secteur énergétique mondial est un vaste réseau. Il comprend les réseaux électriques, les pipelines de pétrole et de gaz, les installations d’énergie renouvelable et les centrales nucléaires. Ces systèmes alimentent tout, des hôpitaux aux marchés financiers. Ils constituent des cibles de choix pour les groupes malveillants à l’échelle mondiale.

Ces systèmes utilisent la Technologie Opérationnelle (OT). L’OT désigne le matériel et les logiciels qui surveillent et contrôlent les processus physiques. C’est comme le système nerveux d’une usine industrielle, qui gère les vannes, les turbines et les générateurs. À la différence des Technologies de l’Information (IT), qui gèrent les données d’entreprise comme la facturation ou les e-mails.

Les attaquants ciblent souvent les infrastructures OT. Ils veulent perturber l’approvisionnement en énergie, voler des données sensibles ou même causer des dommages physiques. Les acteurs sont multiples : groupes parrainés par des États, cybercriminels motivés par le gain financier et parfois, des hackers animés par des motivations idéologiques.

La menace silencieuse : comment les attaques ciblent les infrastructures critiques

En 2022, plus de 70 % des opérateurs d’infrastructures critiques ont subi un cyberincident, selon Claroty. De nombreux incidents ont touché des entreprises énergétiques. Les attaquants exploitent le lien croissant entre les réseaux IT et OT. Ils commencent souvent par s’introduire dans les systèmes IT les moins sécurisés.

Une fois dans le réseau IT, les attaquants cherchent des moyens d’accéder à la partie OT. Imaginez l’immeuble de bureaux d’une entreprise. Un attaquant pourrait d’abord entrer dans les bureaux administratifs (IT). De là, ils chercheraient un moyen d’accéder à la zone de production (OT). Ils utilisent des méthodes comme les e-mails de phishing ou les vulnérabilités logicielles.

Le phishing incite les employés à divulguer leurs identifiants de connexion ou à télécharger des logiciels malveillants. Un bon e-mail peut contourner de nombreuses mesures de sécurité initiales. Les attaques de la chaîne d’approvisionnement sont un autre point d’entrée courant. Dans ce cas, les attaquants compromettent un fournisseur de logiciels de confiance. Du code malveillant est ensuite acheminé vers les entreprises énergétiques via des mises à jour régulières.

Les centrales nucléaires sont des installations massives et complexes qui produisent de l'électricité par fission nucléaire et fournissent une part significative de l'énergie mondiale. En tant qu'infrastructures critiques, leurs systèmes sophistiqués de Technologie Opérationnelle (OT) sont des cibles privilégiées pour les cyberattaques, qui pourraient perturber les réseaux électriques ou même entraîner des dommages physiques. (Source: sentrypods.com)

Dès qu’ils ont accès au réseau OT, les attaquants poursuivent plusieurs objectifs. L’espionnage consiste à voler la propriété intellectuelle ou des données d’exploitation confidentielles. Cela peut inclure les plans d’une nouvelle centrale électrique ou les vulnérabilités du réseau. Ces informations donnent un avantage significatif aux nations rivales.

Les attaques de perturbation visent à provoquer des pannes ou des défaillances du système. Ces attaques peuvent manipuler les contrôles industriels, entraînant l’arrêt des équipements. L’objectif est de créer le chaos ou d’exercer une pression politique. Imaginez un cyberattaquant ouvrant et fermant à distance les disjoncteurs du réseau.

Enfin, la destruction cible l’équipement physique lui-même. C’est le pire des scénarios. Les attaquants peuvent surcharger les machines ou provoquer des fonctionnements erronés. De telles attaques peuvent entraîner des dommages permanents qui nécessitent des réparations physiques coûteuses.

Les cyberattaques majeures qui ont secoué le monde de l’énergie

L’une des premières et des plus tristement célèbres cyberarmes fut Stuxnet. Découvert en 2010, ce ver complexe a ciblé les installations d’enrichissement nucléaire iraniennes. Stuxnet a manipulé les systèmes de contrôle industriel de Siemens. Il a fait tourner les centrifugeuses hors de contrôle jusqu’à leur autodestruction.

Stuxnet était une opération très complexe. Elle a montré comment le code numérique pouvait causer des dommages physiques dans le monde réel. Les experts s’accordent généralement à penser qu’il a été développé dans le cadre d’un effort conjoint américano-israélien. Ralph Langner, un expert allemand en sécurité des systèmes de contrôle, a contribué à l’analyse de son pouvoir destructeur.

En décembre 2015, le réseau électrique ukrainien a été attaqué. Plus de 225 000 clients ont été privés d’électricité pendant des heures. Les attaquants ont utilisé des logiciels malveillants avancés, dont BlackEnergy3, pour désactiver à distance des sous-stations. Les autorités ukrainiennes ont accusé un groupe parrainé par l’État russe.

Un an plus tard, en décembre 2016, une autre attaque a frappé la capitale ukrainienne, Kiev. Les attaquants ont déployé le logiciel malveillant Industroyer (également connu sous le nom de CrashOverride). Industroyer est particulièrement dangereux. Il cible directement les protocoles de communication industriels courants. Il peut effectivement “parler” aux équipements du réseau électrique. Robert M. Lee, PDG de Dragos, a documenté les capacités de ce logiciel malveillant.

L’attaque par rançongiciel contre le Colonial Pipeline a eu lieu en mai 2021. Elle a gravement perturbé l’approvisionnement en carburant dans le sud-est des États-Unis. DarkSide, un groupe cybercriminel russophone, l’a menée. Ils ont chiffré les systèmes IT de l’entreprise et exigé une rançon.

Colonial Pipeline a rapidement arrêté ses systèmes opérationnels. Cela a empêché le rançongiciel de se propager aux infrastructures OT critiques. L’arrêt a néanmoins provoqué une vague d’achats de panique et des pénuries de carburant généralisées. Le FBI a ensuite récupéré une grande partie de la rançon payée. Cet incident a montré le lien étroit entre les systèmes IT et OT.

Voici des centrifugeuses, comme celles ciblées par la cyberarme Stuxnet dans les installations d'enrichissement nucléaire iraniennes. Stuxnet a manipulé ces systèmes de contrôle industriel, les faisant tourner hors de contrôle jusqu'à leur autodestruction, un exemple marquant de code numérique provoquant des destructions physiques. (Source: timesofisrael.com)

Une attaque préoccupante a été Triton (également connue sous le nom de TRISIS) en 2017. Ce logiciel malveillant a ciblé une usine pétrochimique en Arabie saoudite. Triton visait spécifiquement les Systèmes Instrumentés de Sécurité (SIS) de l’usine. Ces systèmes préviennent les défaillances majeures. Les attaquants ont tenté de désactiver ces contrôles de sécurité.

Mandiant, une entreprise de cybersécurité, a analysé l’attaque Triton. Ils ont conclu qu’un État-nation l’avait probablement commanditée. Cette attaque a accru le danger. Elle a montré que les attaquants étaient prêts à compromettre directement les systèmes de sécurité, mettant en danger des vies humaines.

Qui est derrière le clavier ? les acteurs et leurs motivations

La plupart des cyberattaques dans le secteur de l’énergie proviennent de groupes parrainés par des États-nations. Ces groupes agissent pour le compte de gouvernements. Ils travaillent à la réalisation d’objectifs nationaux. Leurs motivations comprennent la collecte de renseignements, le sabotage ou la préparation de futurs conflits. La CISA met souvent en garde contre ces menaces.

La Russie est un acteur majeur dans ce domaine. Des groupes comme Sandworm, liés aux services de renseignement militaire russes (GRU), sont connus pour cibler les infrastructures critiques. Ils sont connus pour leur capacité de destruction, comme on l’a vu lors des attaques contre le réseau électrique ukrainien. Leur objectif est souvent de déstabiliser leurs adversaires.

La Chine mène également un important programme de cyberespionnage. Les groupes chinois parrainés par l’État ciblent souvent les entreprises énergétiques pour voler la propriété intellectuelle. Ils recherchent des avantages économiques et technologiques. Cela inclut le vol de conceptions pour de nouvelles technologies énergétiques ou de procédures opérationnelles.

L’Iran et la Corée du Nord sont également actifs. L’Iran a ciblé des entreprises énergétiques au Moyen-Orient et au-delà. Leurs motivations sont souvent liées aux conflits régionaux et au pouvoir politique. La Corée du Nord utilise les cyberattaques, y compris les rançongiciels, pour générer des revenus pour son régime. Cela les aide à échapper aux sanctions internationales.

Les syndicats du cybercrime sont une autre menace majeure. Leur objectif principal est le gain financier. Ils déploient souvent des rançongiciels, chiffrant les systèmes et exigeant un paiement. Le groupe DarkSide, responsable de l’attaque du Colonial Pipeline, illustre bien cette menace. Ces groupes deviennent de plus en plus sophistiqués.

Occasionnellement, des menaces internes apparaissent. Celles-ci concernent des employés actuels ou anciens ayant des intentions malveillantes. Ils utilisent leur accès légitime pour compromettre les systèmes. Les attaques internes sont moins courantes, mais elles sont souvent les plus difficiles à détecter. Elles peuvent causer des dommages significatifs en raison d’une connaissance approfondie du système.

L'attaque du logiciel malveillant Triton en 2017 a spécifiquement ciblé une usine pétrochimique en Arabie saoudite, dans le but de désactiver ses Systèmes Instrumentés de Sécurité (SIS) et de potentiellement provoquer une défaillance catastrophique. Cet incident a souligné les risques graves posés par les cyberattaques parrainées par des États-nations contre les infrastructures industrielles critiques. (Source: news.az)

Protéger le réseau : défenses et défis futurs

Le Département de l’Énergie des États-Unis a investi plus de 45 millions de dollars dans la R&D en cybersécurité pour les systèmes énergétiques en 2023. Cela témoigne d’un effort continu pour améliorer la sécurité. La protection du réseau énergétique nécessite plusieurs couches de défense. Une étape clé est la segmentation du réseau, qui consiste à séparer les réseaux IT et OT.

Imaginez des pièces séparées et verrouillées dans une maison. Si un cambrioleur entre dans le salon (IT), il ne peut pas immédiatement accéder au coffre-fort dans la chambre (OT). Cette séparation restreint le mouvement d’un attaquant. Elle permet de confiner les violations à des parties spécifiques du réseau.

Les systèmes avancés de surveillance et de détection sont également importants. Les outils de sécurité IT traditionnels ne sont souvent pas adaptés aux réseaux OT. Des logiciels spécialisés peuvent détecter des commandes inhabituelles ou des schémas de trafic spécifiques aux contrôles industriels. Cela aide les opérateurs à repérer les menaces avant que des dommages ne surviennent.

Le partage de renseignements sur les menaces est un autre élément crucial. Les entreprises énergétiques, les agences gouvernementales et les entreprises de cybersécurité partagent des informations sur les nouvelles menaces. Cette collaboration aide les organisations à anticiper les attaques. Elle leur permet également de préparer des défenses à l’avance. Le National Infrastructure Protection Center (NIPC) est un exemple de ce type d’organisme.

Des audits réguliers, des évaluations de vulnérabilité et des mises à jour logicielles sont également essentiels. Les systèmes industriels existants sont très difficiles à corriger. La modernisation de ces systèmes et l’application diligente des mises à jour de sécurité représente un défi constant. Ignorer les mises à jour expose des vulnérabilités critiques.

Un défi majeur à venir est la pénurie de main-d’œuvre en cybersécurité. La demande de professionnels qualifiés en sécurité OT dépasse de loin l’offre. Un rapport ISC2 de 2023 a fait état d’un déficit mondial de main-d’œuvre en cybersécurité de plus de 4 millions de personnes. Ce déficit laisse de nombreuses entreprises d’infrastructures critiques dépourvues de personnel et donc vulnérables.

Une préoccupation croissante est le degré de connexion des réseaux modernes. Les réseaux intelligents (smart grids), les énergies renouvelables et les ressources énergétiques distribuées créent davantage de points d’entrée potentiels. Chaque nouvelle connexion est une surface d’attaque potentielle. Sécuriser ce réseau en expansion est un défi de taille.

FAQ : cyberattaques dans le secteur de l’énergie

Q : Quelle est la principale différence entre la sécurité IT et OT ? R : La sécurité IT protège les données et les systèmes d’information. La sécurité OT protège les processus physiques et les équipements qui contrôlent les opérations industrielles. Les temps d’arrêt sont souvent plus graves en OT. Ils peuvent causer des dommages physiques ou des incidents de sécurité.

Un centre de contrôle de réseau intelligent surveille et gère le flux complexe d'électricité, intégrant les sources d'énergie traditionnelles avec les énergies renouvelables et les ressources énergétiques distribuées. Ces systèmes hautement connectés, bien qu'efficaces, présentent de nouvelles surfaces d'attaque étendues pour les cybermenaces, ce qui rend leur sécurité primordiale. (Source: gettyimages.com)

Q : Les attaques par rançongiciel constituent-elles une menace majeure pour le secteur de l’énergie ? R : Oui, absolument. Les rançongiciels ciblent souvent les systèmes IT. Néanmoins, ils peuvent perturber les opérations en arrêtant la facturation, la logistique ou l’accès à distance. L’incident du Colonial Pipeline a montré comment une perturbation IT peut entraîner un arrêt des opérations.

Q : Une cyberattaque peut-elle provoquer une panne de courant généralisée ? R : Oui, c’est possible. Des attaques comme celles contre le réseau électrique ukrainien ont montré que c’était possible. Des attaquants astucieux pourraient manipuler les contrôles industriels au sein de plusieurs sous-stations. Cela pourrait entraîner des pannes généralisées et des coupures de courant.

Et après ? l’évolution du champ de bataille cybernétique

Les cyberattaques dans le secteur de l’énergie continuent d’augmenter. Les tensions géopolitiques s’intensifient à l’échelle mondiale. Cela accroît l’activité cybernétique parrainée par les États. Les nations développent régulièrement de nouveaux outils et tactiques. Elles visent à obtenir un avantage ou à perturber leurs adversaires.

L’accent se déplace de la pure prévention vers la résilience. Les organisations doivent s’attendre à ce que des violations se produisent. Elles ont besoin de plans pour détecter rapidement les attaques, y répondre et s’en remettre. Cela signifie disposer de systèmes de sauvegarde et de protocoles de réponse aux incidents bien définis. Cela implique également de former le personnel à faire fonctionner les systèmes manuellement si les contrôles automatisés échouent.

La coopération internationale est essentielle pour la défense. Des politiques de cybersécurité unifiées au-delà des frontières sont difficiles à réaliser. Des intérêts nationaux divergents entravent souvent le partage d’informations et les efforts de défense conjoints. Pourtant, les menaces mondiales exigent des solutions mondiales.

En fin de compte, l’élément humain est primordial. Même les défenses techniques avancées peuvent être compromises par un simple clic sur un e-mail malveillant. Une formation et une sensibilisation constantes pour tous les employés, des cadres aux opérateurs d’usine, sont cruciales. Sécuriser notre avenir énergétique est un défi complexe et permanent.

Le Colonial Pipeline, un important pipeline de carburant américain, a été contraint de fermer en mai 2021 en raison d'une attaque par rançongiciel, soulignant comment les perturbations IT peuvent paralyser les infrastructures énergétiques critiques. Cet incident a entraîné de vastes pénuries de carburant et des achats dictés par la panique dans le sud-est des États-Unis. (Source: mwi.westpoint.edu)

---

Vous pourriez aussi aimer:

👉 Mai 2017: WannaCry, le rançongiciel qui a paralysé les hôpitaux britanniques

👉 Avenirs durables : Investissement, Cybersécurité et Avenir du travail

👉 Comprendre l’indépendance énergétique : Sécurité, Économie, Avenir