Les infrastructures critiques (pétrole, gaz…) et les industriels sont de plus en plus confrontés à des actions menées par des cybercriminels et des États. Mais leur protection est aussi complexe que l’architecture de leur réseau ! Un casse-tête et une aubaine pour les pirates.
En juin 2016, Saint-Gobain est touché par NotPetya, un ransomware qui profitait d’une faille dans Windows. Lancée par le groupe de pirates Shadow Brokers, cette cyberattaque coûtera environ 250 millions d’euros au géant ! L’opérateur télécom espagnol Telefonica et Renault en seront également victimes.
Trois ans plus tard, Norsk Hydro, un des principaux producteurs d’aluminium au monde, est impacté par une attaque de ransomware. Le groupe avait été contraint de fermer de nombreuses usines afin d’éviter la propagation du logiciel malveillant à l’ensemble de ses sites industriels.
L’année 2021 a été particulièrement dure pour le secteur de l’agroalimentaire français. Lactalis, le producteur de champagne français Laurent-Perrier et le groupe Avril (connu pour ses marques Lesieur, Matines…) auront été victimes du même genre de code malveillant. La même année, l’activité de la filiale américaine du géant brésilien de la viande JBS est bloquée par un code malveillant. L’entreprise aura été contrainte de stopper ses activités aux États-Unis, au Canada et en Australie. Quelque temps plus tard, la société révélera avoir payé une rançon de 11 millions de dollars pour récupérer l’accès à ses données.
Actions de sabotage
Ces quelques exemples confirment qu’aucun secteur industriel n’est épargné et que ces menaces remontent déjà à plusieurs années. Mais la situation est devenue très complexe et risquée pour les industriels.
« Nous trouvons de plus en plus de techniques et d’outils tout prêts avec de la documentation sur internet. D’années en année, on rehausse le niveau des personnes malveillantes qui peuvent attaquer des systèmes de plus en plus complexes », constate Renaud Lifchitz, Directeur Scientifique chez Holiseum, une entreprise française spécialisée dans la cybersécurité des infrastructures critiques et industrielles.
Même si les guerres conventionnelles existent encore, des opérations de cyberguerre visant des réseaux industriels sont également menées par des États. Des sabotages entraînant des coupures massives d’électricité ont ainsi été menés en Ukraine.
Pour les industriels, la situation est très difficile à gérer. Les réseaux deviennent de plus en plus complexes et ils sont connectés entre eux. Or, les interconnexions entre univers IT (Information Technology) et OT (Operational Technology) représentent dorénavant un maillon faible de la sécurité.
Prenons l’exemple d’un ERP (Entreprise Resource Planning). Pour centraliser l’ensemble des outils nécessaires à la gestion d’une entreprise, ce logiciel est donc connecté à la chaîne de production. Une faille de sécurité au niveau de ce programme peut être exploitée par un cybercriminel. En infiltrant tout le réseau informatique, il peut récupérer des données sensibles ou les chiffrer (dans le langage courant, on parle plutôt de crypter) pour exiger une rançon (attaque de type ransomware ou rançongiciel).
Liaisons dangereuses
Outre ces interconnexions dangereuses, il y a une inertie générale, que ce soit au niveau de la mise à jour des systèmes et au niveau de la sécurisation de systèmes eux-mêmes, car « la priorité des industriels est la disponibilité de leur outil de production au détriment de la confidentialité ou de l’intégrité des données. Ils ne veulent pas que leur activité soit interrompue. Tout arrêt ou transformation/amélioration du système informatique par de nouveaux programmes ou processus est considéré comme une perte d’argent », souligne Renaud Lifchitz.
Or, beaucoup de systèmes d’exploitation installés dans les usines sont obsolètes. Il n’est pas rare de voir des ordinateurs fonctionnant sous Windows 95, 98, Millenium et pour lesquels Microsoft n’assure plus aucun support (mises à jour, publication et correctifs de sécurité…) depuis des années !
Autre écueil, les fabricants d’automates ne garantissent un support que si leurs clients laissent en l’état la configuration et, en particulier, le mot de passe par défaut. « Cette pratique est entièrement assumée par les constructeurs, car ces mots de passe sont utilisés pour l’administration et la maintenance. Dans le contrat de prestation, il est d’ailleurs stipulé que leur modification entraîne la rupture du support », précise Renaud Lifchitz.
Dans ce contexte, les industriels doivent mettre en place des procédures adaptées pour limiter les risques d’infection virale. Étant donné qu’il n’est pas possible de modifier la configuration des machines, « la seule parade est d’isoler physiquement les réseaux et surtout de ne pas les connecter à l’internet ou, si c’est le cas, de passer par des couches fonctionnelles (supervision, management, opérations…) intermédiaires. Une isolation périmétrique du réseau est indispensable afin qu’il n’y ait pas d’attaquant dans le même périmètre », explique Renaud Lifchitz.
Pour appliquer ces règles essentielles, il est nécessaire de respecter la norme ISO 62443 qui définit la séparation en couche fonctionnelle dans le réseau industriel. Mais elle n’est pas systématiquement appliquée par les industriels…
Réagissez à cet article
Vous avez déjà un compte ? Connectez-vous et retrouvez plus tard tous vos commentaires dans votre espace personnel.
Inscrivez-vous !
Vous n'avez pas encore de compte ?
CRÉER UN COMPTE