Pour la 2ème fois de l’Histoire, une cyberattaque est parvenue à détruire des équipements dans le monde réel

Atlantico : Les cyberattaques portées contre Sony Pictures à la fin de l'année 2014 ont occulté un autre événement, pour le moins inquiétant : dans son rapport annuel sur la sécurité numérique, l'Allemagne rapporte que l'un des hauts fourneaux d'une aciérie ne s'est pas fermé en temps voulu, à cause d'une attache de hackers, provoquant des dommages, qui n'ont pas été précisés de manière détaillée. Après les centrifugeuses iraniennes d’enrichissement d'uranium en 2010, c'est la deuxième infrastructure qui est physiquement touchée. Ce type d'événement est-il appelé à se répéter ?

Michel Nesterenko : Une répétition est certaine. La seule question est de savoir quand ? Et y aura-t-il des morts ? Depuis le bug de l'an 2000, il est de notoriété publique que le logiciel informatique contrôlant le fonctionnement des usines de tous types, appelé SCADA, est une vraie passoire en terme de sécurité informatique. Ce logiciel a été conçu à une époque passée où la sécurité informatique n'était pas de mise. Pour l'instant, rien n'a vraiment été fait pour remplacer ce type de logiciel par des versions sécurisées. Pire, la NSA s'est attelée à le fragiliser plus encore en participant aux groupes de discussions et à s'assurer que les mafias de hackers étaient au courant pour pouvoir les enrôler dans des attaques de grande ampleur, sur l'Iran, la Russie ou autres, et brouiller les pistes. Jusqu'à présent, les mafias ont trouvé des cibles plus juteuses dans les banques et sites de ventes en ligne.

Qui peut être à l'origine de l'attaque ?

Pour conduire avec succès une attaque de ce type, il faut des moyens colossaux. Une attaque d'un hacker seul fut il génial est donc très improbable. Par contre, de grands pays tels que les USA avec la NSA, Israël, la Russie, la Chine sont tout à fait capable de mener une attaque avec succès et d'en tirer un profit stratégique. Certains en ont fait la démonstration grandeur nature. Pour les mafias, le coût pour faire une attaque de ce type est démesuré par rapport au son profit potentiel. Quant aux groupes terroristes, ils ne possèdent pas suffisamment de moyens de grande ampleur organisés et coordonnés sauf à enrôler et payer une Mafia.

Quelles pourraient être les infrastructures visées à l'avenir, et avec quelles conséquences ? Cela pourrait-il se traduire par des morts ?

En plus des usines, toutes les infrastructures sont à risque. En premier lieu le réseau électrique, la distribution d'eau, le contrôle de la circulation, le contrôle aérien et bien d'autres. Des morts, il y en aura certainement un jour ou l'autre, mais va-t-on, ou est-il utile, d'en attribuer la cause correctement ?

Aujourd'hui quel est le niveau de protection des entreprises et des administrations dont les infrastructures pourraient être attaquées par des hackers soucieux de nuire ?

Pour l'instant, le risque d'attaque hors acteur étatique est faible et le coût de sécurisation réel est prohibitif. Donc on fait l'impasse et on prie pour que le concurrent commercial ou industriel soit le premier visé. La protection des pare-feux de l'entreprise ou de l'administration est considérée comme adéquate compte tenu du risque estimé.

Les hackers se seraient introduits dans le logiciel de gestion de l'usine en pénétrant tout d'abord dans le réseau commercial de l'entreprise, pour ensuite affecter les hauts fourneaux. Cela signifie-t-il qu'il faut totalement séparer les réseaux au sein d'une même entreprise ou administration ?

Il faut concevoir le réseau informatique de l'entreprise comme un corps humain et raisonner en 4 dimensions. Il ne pas oublier les facteurs temporels. Le temps de propagation, le temps séquentiel, le temps différentiel des différentes nodes du réseau … Il est évident que dans l'attaque d'une entreprise globalisée, les filiales, clients ou fournisseurs éloignés en terme de fuseaux horaires représentent des cibles moins vigilantes. Il est très difficile de sécuriser comme un château fort un réseau commercial qui se doit avant tout de communiquer, faute de quoi il n'y aurait plus d'entreprise. Si on fragmente les réseaux d'une entreprise, cette dernière vas s'affaiblir par manque de productivité. Il n'y a pas de potion magique pour cela, seule une défense en profondeur constamment mise à jour peut être efficace et il faut former chacun des collaborateurs en conséquence. La sécurité du système est au niveau du maillon le plus faible.