La transformation digitale de l’industrie: une aubaine pour les pirates

Selon une étude de PwC, menée entre novembre 2015 et janvier 2016 auprès de plus de 2 000 cadres dirigeants d’entreprises industrielles dans 26 pays, dont 101 en France, le digital va envahir les usines.

À l’échelle mondiale, d’ici 2020, les entreprises issues des secteurs industriels étudiés (industries manufacturières, ingénierie et construction, chimie, électronique, transports & logistique, automobile, métaux, aéronautique & défense) investiraient quelque 907 milliards de dollars par an.

Cette transformation vers une « smart factory » vise à réaliser de nouveaux gains de compétitivité. Avec l’Usine 4.0, il s’agit donc de faire mieux avec des moyens toujours plus intelligents. « Le Big data et l’internet des objets sont indispensables à l’optimisation des flux logistiques et des chaines de production afin de satisfaire les clients et partenaires. L’analyse de ces importants volumes de données fournis par des capteurs permet par exemple d’accroître la maintenance prédictive. Enfin, l’industrie automobile et les raffineries peuvent faire d’importantes économies en s’équipant de capteurs capables d’alerter les équipes de maintenance et garantir une continuité de productivité accrue », explique Philippe Meleard, vice-président marketing & Communication chez Sogeti High Tech, filiale à 100 % du groupe Capgemini.

Mais cette même étude de PwC relève aussi l’inquiétude des dirigeants vis-à-vis des risques de cyberattaques. Principaux objectifs : le vole de données sensibles et la paralysie des outils de production. La situation est d’autant plus alarmante que ces attaques sont en constante progression avec une augmentation de 51 % en 2015.

Les techniques d’infection sont connus comme le rappelle la start-up française Sentryo spécialisée dans la sécurité des réseaux industriels. La première consiste à introduire un code malveillant via le système informatique de l’usine, pour accéder aux réseaux industriels. Outre les fameuses pièces jointes, il y a aussi les clés USB (ou un appareil mobile). C’est ce type de périphérique qui a été utilisé pour infecter une usine d’enrichissement d’uranium iranienne avec le virus Stuxnet.

L’infection par l’insertion d’une clé USB est efficace, car elle repose sur un ressort humain bien connu : la curiosité. En mars dernier, des chercheurs américains ont réparti près de 300 clés USB sur des campus en modifiant leur apparence (avec une étiquette « Confidentiel », avec le logo d’une société high-tech…). Résultat : 98 % des clés ont été récupérées par des passants et presque la moitié (45 %) ont été insérées et des fichiers ouverts.

La seconde technique consiste à identifier la cible sur le réseau industriel. Une fois à l’intérieur du système d’information, un virus va lancer des tests de « découverte ». « Cela se matérialisera, par exemple, par un envoi en masse de messages à toutes les adresses possibles du réseau, par le biais d’un scan. C’est ce que fait le Cheval de Troie BlackEnergy, malware qui serait à l’origine de l’attaque d’une centrale ukrainienne », indiquent les chercheurs de Sentryo.

Enfin, la dernière méthode possible consiste à lancer une attaque de « déni de service » (DoS – « Denial of Service »).  Une attaque DoS vise à rendre un serveur, un service ou une infrastructure indisponibles en surchargeant la bande passante du serveur, ou en accaparant ses ressources jusqu’à épuisement. Une multitude de requêtes sont envoyées simultanément, depuis de multiples points du Net. L’intensité de ce « tir croisé » rend le service instable, ou pire, indisponible.

Lancée contre une centrale électrique, par exemple, une attaque DoS se matérialise par un arrêt de la distribution d’électricité à la population, comme ce fut le cas en Ukraine fin 2015.

« Les techniques et méthodes des hackers ont évolué pour s’adapter au fonctionnement du monde industriel. Les protocoles ne sont plus inconnus, ce qui témoigne de la vulnérabilité de l’Internet industriel, autrefois univers clos et quasiment inaccessible.

Tout n’est pas négatif : des solutions existent, elles passent souvent par une meilleure connaissance de son propre système, des éléments à protéger et des risques », rassure-t-on chez Sentryo.

Philippe Richard