12 insights essentiels sur la sécurité IoT de 2023

Si la plupart des consommateurs s'inquiètent de la vie privée – peur que les caméras de sécurité révèlent des moments privés ou que les enceintes intelligentes capturent des conversations sensibles – ces préoccupations ne représentent qu'une fraction des vraies menaces face aux dispositifs IoT. En pratique, les attaquants voient les endpoints IoT comme tremplins vers des objectifs plus larges : lancer des attaques par déni de service distribué (DDoS), pivoter dans les réseaux d'entreprise, ou compromettre l'infrastructure critique.

Lors d'une session DEFCON récente, Bryson Bort, CEO de Scythe et ancien conseiller de l'Army Cyber Institute, a mis en avant les tendances IoT et systèmes de contrôle industriel (ICS) les plus significatives de l'année passée.

1. L'attribution aux États-nations augmente

Historiquement, la plupart des cyberattaques étaient attribuées au crime organisé. Les récents Data Breach Investigations Reports 2023 de Verizon montrent un changement clair : les attaques liées à des acteurs affiliés à des États sont en hausse, tandis que celles liées à des groupes purement criminels déclinent. Alors que l'activité d'État-nation grandit, l'effort pour tracer les origines des attaques grandit aussi, soulignant le besoin de comprendre les motifs géopolitiques derrière chaque incident.

2. Les dispositifs IoT servent de points de pivot

Bien que l'idée d'une caméra vous espionnant soit alarmante, les objectifs primaires des attaquants sont généralement le gain financier ou l'espionnage ciblé. Une menace plus réaliste implique l'exploitation de dispositifs IoT faibles pour se déplacer latéralement dans un réseau. Le Microsoft Security Response Center a documenté une campagne où un threat actor (connu comme « Strontium » ou APT 28/Fancy Bear) a compromis un téléphone VOIP, une imprimante et un décodeur vidéo pour gagner un point d'appui et ensuite scanner pour des comptes plus privilégiés.

3. L'air-gapping est un mythe

Les réseaux air-gappés – supposément isolés de l'internet – se sont avérés vulnérables. Bryson Bort note qu'il n'a jamais rencontré de système véritablement air-gappé pendant ses tests de pénétration. L'attaque Stuxnet reste l'exemple le plus cité, où les attaquants ont infiltré une installation nucléaire iranienne via une clé USB apparemment inoffensive.

4. L'énergie verte ajoute de la complexité cyber

Les réseaux électriques modernes intègrent maintenant des sources renouvelables et de la génération distribuée (ex: panneaux solaires, chargeurs VE). Ce flux bidirectionnel demande un contrôle informatique sophistiqué, ce qui étend la surface d'attaque. Bort questionne si nous devrions revenir aux systèmes analogiques, mais le passage à l'énergie verte redessine la sécurité du grid.

5. Les cibles d'infrastructure critique augmentent

Les États-nations intensifient les efforts pour compromettre les systèmes de contrôle industriels – machines à voter, stations de traitement d'eau, réseaux électriques. Les États-Unis, Royaume-Uni, Israël, Russie, Corée du Nord, Iran, et même le Vietnam (qui a récemment ciblé des firmes automobiles étrangères) sont parmi les acteurs cyber les plus avancés.

6. Les cyberattaques financent les régimes isolés

Des rapports indiquent que les opérations cyber peuvent fournir un support financier pour les économies fermées. Par exemple, la Corée du Nord aurait siphonné 2 milliards $ d'institutions financières mondiales et d'exchanges crypto pour financer son programme de missiles. Les États-Unis ont même alloué des milliards pour acheter des cyber-armes visant à paralyser les systèmes de missiles nord-coréens.

7. Un seul malware peut infliger des milliards

WannaCry et NotPetya, bien que pas spécifiquement conçus pour l'IoT, ont démontré le potentiel catastrophique du ransomware. Le NHS a perdu 19 000 rendez-vous et encouru un coût de 92 millions £, tandis qu'un conglomérat de transport a subi 200-300 millions $ de dommages. Ces incidents illustrent comment une seule infection peut faire s'effondrer des opérations entières.

8. Trisis signale une nouvelle ère de menace

Identifié pour la première fois en 2017, Trisis a combiné phishing et tactiques watering-hole pour brècher les systèmes IT, puis a pivoté vers les réseaux OT, compromettant les systèmes instrumentés de sécurité (SIS) qui contrôlent directement les processus physiques. FireEye lie l'attaque à des acteurs russes, et des rapports récents suggèrent que la menace cible maintenant l'infrastructure électrique américaine.

9. Les campagnes d'infrastructure critique montent en échelle

Si les attaques d'infrastructure à grande échelle restent rares, l'intelligence indique un nombre croissant d'organisations cherchant activement à infiltrer des actifs critiques. Ces campagnes sont souvent itératives, visant l'accès long terme plutôt que la disruption immédiate.

10. Le ransomware pourrait cibler les dispositifs IoT bientôt

Des chercheurs ont démontré du ransomware contre une gamme de dispositifs IoT, pourtant les attaques mainstream se sont concentrées sur les plateformes de calcul traditionnelles. Bort prévoit que dans cinq ans, le ransomware pourrait s'étendre aux véhicules intelligents, domotique et autres dispositifs connectés – potentiellement exigeant des paiements en cryptomonnaie pour déverrouiller le système.

11. Les fournisseurs sont intégraux au modèle de risque

Les vulnérabilités de supply chain sont devenues une préoccupation majeure. Les allégations de Bloomberg qu'un fournisseur majeur de cartes mères serveurs chinois était compromis ont déclenché un débat, bien que les claims aient été disputés par les grandes firmes tech. Bort insiste que tout composant touchant votre infrastructure – hardware, firmware ou software – doit être considéré comme partie de votre profil de risque.

12. La monétisation des données drive les ventes IoT

Les dispositifs intelligents viennent souvent à peu ou pas de coût additionnel car les fabricants monétisent les données de télémétrie. Bort souligne qu'une smart TV est typiquement moins chère qu'un équivalent non-smart car l'entreprise vend les données utilisateur – habitudes de visionnage, localisation, et plus. Business Insider rapporte que la moisson de données similaire se produit dans la fabrication automobile. Un rapport de la Commission d'examen économique et de sécurité US-Chine avertit que les entreprises IoT chinoises accèdent de plus en plus aux données de consommateurs américains, soulevant des préoccupations de sécurité nationale.

En résumé, le paysage des menaces IoT en 2023 est dominé par les acteurs d'État-nation, les risques de supply chain et les tactiques de ransomware évolutives. Protéger vos dispositifs requiert une approche en couches : durcissement des dispositifs, vetting de supply chain, segmentation réseau et monitoring continu.