Sécurité des systèmes de contrôle industriel, dispositifs médicaux et cybermenaces cachées

Pacemakers piratés, pompes à insuline, voitures connectées, usines industrielles, satellites et réseaux électriques ont tous été ciblés par des cyberattaques. Depuis des années, les chercheurs avertissent que des acteurs malveillants pourraient transformer ces systèmes en armes pour nuire ou tuer, présentant souvent des preuves de concept spectaculaires.

Si les histoires qui font la une attirent l'attention, elles peuvent masquer les menaces quotidiennes posées par les logiciels hérités, les systèmes d'exploitation non corrigés, les réseaux mal configurés et les firmwares obsolètes. Ces vulnérabilités banales restent les points d'entrée les plus courants pour les attaquants.

Les Systèmes de Contrôle Industriel (ICS) sont au cœur de tout, de la guidance satellitaire aux pipelines pétrole-gaz en passant par l'automatisation d'usine. Des incidents historiques – souvent difficiles à vérifier – suggèrent que le sabotage a perturbé des infrastructures critiques pendant des décennies. Par exemple, Thomas C. Reed, ancien Secrétaire de l'Air Force, allègue qu'un malware de type cheval de Troie a été utilisé sur l'équipement contrôlant un pipeline transsibérien, causant une explosion massive (Reed, « At the Abyss »).

Internet of Things World – la convergence de l'industrie et de l'innovation IoT. Obtenez votre pass conférence et économisez 350 $ pour un pass expo gratuit, ou consultez les intervenants en sécurité IoT à l'événement.

Les cyberattaques sur les actifs industriels connectés sont désormais monnaie courante. Les principaux fournisseurs – IBM Managed Security Services, Kaspersky Lab et autres – ont signalé une hausse des incidents. En mars, Norsk Hydro, l'un des plus grands producteurs d'aluminium au monde, a subi un cyberincident qui a perturbé la production en Europe et aux États-Unis.

Pour contrer cette menace, Siemens et TÜV SÜD ont lancé une initiative conjointe appelée « Digital Safety & Security Assessments ». « Les attaques sur la technologie opérationnelle peuvent entraîner des arrêts ou pire », a déclaré Leo Simonovich, Vice-président et Responsable mondial de la cybersécurité industrielle et numérique chez Siemens. « Contrairement à l'IT, où la perte de données est la préoccupation principale, les violations en OT peuvent menacer directement la sécurité des personnes. » Le partenariat offre aux clients du secteur de l'énergie des outils pour évaluer et gérer le risque cyber.

Simonovich a souligné le malware Triton découvert par Dragos dans une installation saoudienne en 2017, notant qu'il a pu passer de l'IT à l'OT puis aux systèmes critiques de sécurité avec une relative facilité. « La facilité de cette transition est ce qui rend Triton si effrayant », a-t-il dit.

Ces incidents illustrent une tendance plus large : si les scénarios spectaculaires de « black-hat » captent les gros titres, les menaces plus réalistes proviennent de malwares hérités comme Kwampirs (découvert en 2015) et Conficker (identifié pour la première fois en 2008). « Même les experts chevronnés admettent que les outils les plus simples peuvent encore causer de vrais dommages », a déclaré Stephanie Preston Domas, Vice-présidente de la Recherche et Développement chez MedSec.

L'attaque par ransomware « WannaCry » de 2017 – qu'Europol a décrite comme sans précédent – a démontré comment un malware de base peut paralyser à la fois des installations industrielles et médicales. Elle a infecté environ 200 000 ordinateurs dans le monde, forcé Nissan à arrêter sa production au Royaume-Uni, et causé des perturbations majeures chez Deutsche Bahn et d'autres opérateurs de transport. L'attaque a coûté près de 100 millions de livres au NHS britannique et entraîné l'annulation de 19 000 rendez-vous.

Des exploits similaires, comme « NotPetya », ont infligé des millions de dollars de dommages au géant du transport maritime Maersk et mis en lumière le risque de fuites d'outils d'État dans la nature. WannaCry et NotPetya ont tous deux exploité la faille EternalBlue, originellement développée par la NSA américaine. Des enquêtes récentes révèlent que des agents du renseignement chinois ont réutilisé des outils dérivés de la NSA pour des attaques indépendantes.

« Nous devons aller au-delà du récit des "méchants" », argue Domas. « Quand une cyberattaque cause un préjudice aux patients, c'est souvent accidentel – un effet secondaire d'autres activités système. L'accent doit être mis sur l'atténuation des risques quotidiens. »

La recherche sur la sécurité OT fait écho à ce sentiment. Simonovich note que la plupart des violations impliquent une part d'erreur humaine, et que les menaces internes constituent la majorité des attaques dans le secteur industriel.

En fin de compte, protéger les environnements industriels et médicaux connectés nécessite une conscience claire des risques. « Les professionnels férus de technologie sont de plus en plus conscients, mais de nombreux employés non techniques restent dans l'ignorance », a dit Domas. « L'évaluation des risques et la modélisation des menaces doivent guider les priorités d'atténuation car on ne peut pas corriger chaque vulnérabilité. »