Voilà les trois potentielles cyber attaques russes qui font le plus peur aux experts

Atlantico : A quel point des attaques contre le réseau électrique sont-elles à craindre à l’Ouest ? Quels dégâts cela pourrait-il engendrer ?

Jean-Paul Pinte : Depuis le début de la guerre, l’occident redoute des cyberattaques russes mais à ce jour peu de choses réellement sérieuses ou graves se sont déroulées.

Le président américain Joe Biden a appelé de son côté les entreprises et organisations privées aux États-Unis à "verrouiller leurs portes numériques", affirmant que les renseignements suggèrent que la Russie prévoit une cyber-attaque contre les États-Unis.

Les cyber-autorités britanniques soutiennent également les appels de la Maison Blanche à "des précautions accrues en matière de cybersécurité", bien qu'aucune des deux n'ait fourni la moindre preuve que la Russie envisageait une cyberattaque.

La Russie a précédemment déclaré que de telles accusations étaient « russophobes ».

Cependant, la Russie est une cyber-superpuissance avec un sérieux arsenal de cyber-outils et des pirates capables de cyber-attaques perturbatrices et potentiellement destructrices.

L'Ukraine est restée relativement épargnée par les cyber-offensives russes, mais les experts craignent maintenant que la Russie ne lance une cyber-offensive contre les alliés de l'Ukraine.

"Les avertissements de Biden semblent plausibles, d'autant plus que l'Occident a introduit davantage de sanctions, que les hacktivistes continuent de se joindre à la mêlée et que les aspects cinétiques de l'invasion ne se déroulent apparemment pas comme prévu", déclare Jen Ellis, de la société de cybersécurité Rapid7.

BlackEnergy - attaque d'infrastructure critique ciblée

L'Ukraine est souvent décrite comme le terrain de jeu du piratage informatique de la Russie, qui y a mené des attaques apparemment pour tester des techniques et des outils. 

En 2015, le réseau électrique ukrainien a été perturbé par une cyberattaque appelée BlackEnergy, qui a provoqué une panne de courte durée pour 80 000 clients d'une entreprise de services publics dans l'ouest de l'Ukraine.

Presque exactement un an plus tard, une autre cyberattaque connue sous le nom d'Industroyer a coupé le courant d'environ un cinquième de Kiev, la capitale ukrainienne, pendant environ une heure.

Les États-Unis et l'UE ont nommé et blâmé les pirates militaires russes pour les attaques.

"La Russie pourrait absolument essayer d'exécuter une attaque comme celle-ci contre l'Occident pour illustrer ses capacités et faire une déclaration", a déclaré Marina Krotofil, intervenante ukrainienne en cybersécurité, qui a aidé à enquêter sur les coupures de courant.

Presque exactement un an plus tard, une autre cyberattaque connue sous le nom d'Industroyer a coupé le courant d'environ un cinquième de Kiev, la capitale ukrainienne, pendant environ une heure.

"Cependant, aucune cyberattaque contre un réseau électrique n'a entraîné une interruption prolongée de l'alimentation électrique. Il est extrêmement difficile d'exécuter des cyberattaques sur des systèmes d'ingénierie complexes de manière fiable et il est parfois impossible d'obtenir un effet dommageable prolongé en raison de protections."

Des experts comme Mme Krotofil émettent également l'hypothèse que cela pourrait également se retourner contre la Russie, car l'Occident est très susceptible d'avoir également une présence décente dans les réseaux russes.

NotPetya - destruction incontrôlable

NotPetya est considérée comme la cyberattaque la plus coûteuse de l'histoire et a été imputée à un groupe de pirates militaires russes par les autorités américaines, britanniques et européennes.

Le logiciel destructeur était caché dans une mise à jour d'un logiciel de comptabilité populaire utilisé en Ukraine, mais s'est répandu dans le monde entier, détruisant les systèmes informatiques de milliers d'entreprises et causant environ 10 milliards de dollars (7,5 milliards de livres sterling) de dommages.

Les pirates nord-coréens sont accusés d'avoir causé d'énormes perturbations avec une attaque similaire un mois plus tôt.

Le « ver » WannaCry (une sorte de virus) a brouillé les données d'environ 300 000 ordinateurs dans 150 pays. Le National Health Service du Royaume-Uni a été contraint d'annuler un grand nombre de rendez-vous médicaux.

"Ce type d'attaques entraînerait la plus grande opportunité de chaos de masse, d'instabilité économique et même de pertes de vie", a déclaré Mme Ellis.

"Cela peut sembler exagéré, mais les infrastructures critiques dépendent souvent des technologies connectées, tout autant que toutes les autres parties de notre vie moderne, et nous en avons vu le potentiel avec l'impact du WannaCry sur les hôpitaux britanniques."

Cependant, le professeur Alan Woodward, informaticien de l'Université de Surrey, affirme que de telles attaques comportent également des risques pour la Russie.

"Ces types de piratages incontrôlables ressemblent beaucoup plus à une guerre biologique, en ce sens qu'il est très difficile de cibler des infrastructures critiques spécifiques à des endroits spécifiques. WannaCry et NotPetya ont également vu des victimes en Russie."

Colonial Pipeline - les attaques cybercriminelles s'intensifient

En mai 2021, l'état d'urgence a été déclaré dans un certain nombre d'États américains après que des pirates ont provoqué la fermeture d'un oléoduc vital.

Colonial Pipeline transporte 45% de l'approvisionnement de la côte est en diesel, essence et carburéacteur et l'approvisionnement a provoqué la panique aux pompes.

Cette attaque n'a pas été menée par des pirates du gouvernement russe, mais par le groupe de rançongiciels DarkSide, qui serait basé en Russie.

La société pipelinière a admis avoir payé aux criminels 4,4 millions de dollars en bitcoins difficiles à tracer, afin de remettre les systèmes informatiques en état de marche.

Quelques semaines plus tard, l'approvisionnement en viande a été affecté lorsqu'une autre équipe de rançongiciel appelée REvil a attaqué JBS, le plus grand transformateur de bœuf au monde.

L'une des grandes craintes des experts concernant les cyber-capacités russes est que le Kremlin pourrait demander aux groupes de cybercriminalité de coordonner les attaques contre des cibles américaines, afin de maximiser les perturbations.

"L'avantage d'ordonner aux cybercriminels de mener des attaques par ransomware est le chaos général qu'ils peuvent provoquer. En nombre suffisant, ils peuvent causer de graves dommages économiques", déclare le professeur Woodward. Avec l'avantage supplémentaire d'un déni plausible, car ces groupes sont à un pas d'une attaque de l'État russe."

Comment les États-Unis pourraient-ils réagir ?

Dans le cas hautement improbable où un pays de l'OTAN serait victime d'une cyberattaque causant des pertes en vies humaines ou d'énormes dommages irréparables, cela pourrait déclencher l'article 5, la clause de défense collective de l'alliance.

Mais les experts disent que cela entraînerait l'OTAN dans une guerre à laquelle elle ne veut pas participer, de sorte que toute réponse est plus susceptible de provenir des États-Unis et de leurs proches alliés.

Le président Biden a déjà déclaré que "nous sommes prêts à réagir" si la Russie lance une grande attaque contre les États-Unis.

Cependant, le cyber-chaos sans précédent observé en Ukraine ces dernières semaines par des pirates informatiques de part et d'autre de la guerre montre à quel point les choses peuvent facilement dégénérer. Ainsi, toute action est susceptible d'être soigneusement examinée.

Face à une menace grandissante, les secteurs vitaux doivent s’organiser.

Un hacker qui prend le contrôle d’une usine de distribution d’eau, une cyberattaque qui paralyse le fonctionnement d’un réseau d’électricité, le système informatique d’un hôpital bloqué… Les attaques informatiques contre les secteurs d’importance vitale se sont multipliées ces dernières années un peu partout dans le monde, laissant craindre des conséquences potentiellement catastrophiques pour les populations concernées.

Illustration en février 2021, quand un pirate informatique a hacké le réseau d’une usine d’approvisionnement d’eau à Oldsmar, en Floride, parvenant à donner des instructions pour augmenter à un niveau dangereux la concentration d’un additif chimique. Si l’anomalie a été décelée très tôt, permettant d’éviter le pire, elle a mis en lumière le risque que font peser ces cyberattaques sur les secteurs comme l’eau, l’énergie, la santé ou les transports, qui tentent de s'organiser pour prévenir ce type de menace.

Dans quelle mesure des attaques utilisant NotPetya ou des programmes similaires seraient-elles dévastatrices ?

Le site Cyber-cover.fr nous rappelle que NotPetya a contaminé des milliers d'ordinateurs, perturbant pendant plusieurs mois des multinationales et infrastructures critiques, comme les ordinateurs de contrôles du site nucléaire de Tchernobyl, les ports de Bombay et d'Amsterdam. Parmi les entreprises touchées figuraient le pétrolier russe Rosneft, le transporteur maritime danois Maersk, le laboratoire pharmaceutique américain Merck, le publicitaire britannique WPP ou encore Saint-Gobain qui de son côté a estimé à 250 M€ l’impact de l’épisode sur son chiffre d’affaires 2017, et de 80 M€ sur son résultat d’exploitation.

L’ancien conseiller de la sécurité intérieure de la Maison Blanche, Tom Bossert, estimait que le  coût de la cyber attaque NotPetya était supérieur à 10 milliards de dollars. Dans cette même interview il déclarait également que le principal suspect du lancement du code malveillant était la Russie, au travers d’une attaque de cyberguerre visant une déstabilisation de l’Ukraine.

Saint-Gobain : la cyberattaque NotPetya lui a coûté 80 M€ de résultats

Avec Renault ou encore TV5 Monde, Saint-Gobain fait partie des entreprises qui ont brisé l'omerta relative aux cyberattaques, communiquant, au surlendemain de l'assaut de NotPetya, auprès des marchés sur l'attaque qui lui a valu (seulement) 10 jours d'arrêt. Huit mois après, Claude Imauven, directeur général exécutif, témoigne de cet événement. Indéniablement, il y aura, pour lui, un avant et un après.

NotPetya : Merck gagne un procès à 1,4 milliard face à son assureur

Un tribunal américain a rendu une première décision dans le diffèrent opposant la société pharmaceutique Merck à son assureur Ace American. L’assureur refusait d’indemniser son client suite aux dommages causés par l’attaque NotPetya, mais le tribunal américain a donné raison à Merck.

Lourdement touché par le logiciel malveillant NotPetya en 2017, le laboratoire pharmaceutique s’était tourné vers son assureur, la société américaine Ace American, pour espérer obtenir un dédommagement.

La société évaluait à l’époque les dégâts causés par le vrai faux ransomware à environ 1,4 milliard de dollars. Coup de chance : la société avait contracté une couverture tout risque auprès de son assureur, lui permettant d’espérer un remboursement à hauteur de 1,7 milliard de dollars.

Au vu de l’utilisation croissante des attaques informatiques dans le cadre de conflit entre puissances étatiques, on imagine que de nombreux assureurs vont chercher à revoir leurs clauses pour s’éviter un destin similaire à Ace American.

Des attaques coordonnées sur nos différentes infrastructures vitales (pétrole, nourriture, etc.) sont-elles envisageables ? A quel point est-ce un motif d’inquiétude ?

Après l’argent, les intrusions à des fins d’espionnages, reste le risque de cyberattaque le plus redoutée, souvent mise en scène au cinéma, la déstabilisation d’infrastructure critique.

Le risque est bien réel, les banques et grandes entreprises. Tous les secteurs sensibles de l’économie, les infrastructures vitales sont en mode défensifs préparés à des attaques.

L’activité de  Saint Gobain ; Mars, Nivea ou des laboratoires pharmaceutiques  bloquées. Le virus avait couté   10 milliards de dollars de pertes à l’époque…c’est ce risque des dommages collatéraux venus du champ de bataille cyber entre l'Ukraine et la Russie qui redoute aujourd’hui les spécialistes.

De fait, les rançongiciels touchant des hôpitaux en France ont chamboulé leurs fonctionnements et mis la vie de leurs patients en danger. De même, l’attaque de Colonial Pipeline en mai 2021 a bloqué temporairement l’approvisionnement en carburant de la côte est des États-Unis.

Des cas de piratages particulièrement graves ont par ailleurs été relevés. En avril 2020, une installation de gestion des eaux usées a été attaquée en Israël, sans conséquence. L’Iran, désigné responsable, a subi une contre-attaque. L’un de ses ports a vu ses systèmes de régulation des flux de cargos coupés. Dans un cas proche à celui d’Israël, en 2021 les agences de cybersécurité américaines ont rapporté qu’une usine de traitement d’eau potable avait été infiltrée, « Ils auraient manipulé le niveau d’hydroxyde de sodium dans une potentielle tentative d’empoisonnement ».

Comment pouvons-nous nous défendre face à la pluralité de ces menaces et leur ampleur ?

En France, Emmanuel Macron est intervenu en février après une énième attaque pour renforcer la cybersécurité du pays. Les États-Unis ont décidé d’aller plus loin encore, en plaçant les rançongiciels au niveau du terrorisme. Plusieurs groupes ont été démantelés et certains de leurs protagonistes arrêtés grâce à la coopération internationale.

Pour l’ANSSI cela pourrait inciter la masse des cybercriminels à éviter les structures critiques où se contenter de vol d’informations. Seuls les groupes suffisamment dotés, capables d’assurer leur anonymat s’y risqueront. Les acteurs étatiques sont les premiers d’entre eux.

L’ANSSI ne cesse d’appeler à « une vigilance particulière de l’ensemble des parties prenantes », tandis que la cybersécurité apparaît enfin prise au sérieux au-delà des cercles spécialisés. L’approche d’événements majeurs en France, les élections législatives et présidentielles cette année, la coupe du monde de rugby 2023, les Jeux olympiques de 2024 « seront autant d’événements que les attaquants chercheront à exploiter » avertit l’ANSSI.

Daniel Guignier nous rappelle sur le site du Cercle K2 que face aux cyberattaques, la cybersécurité est un moyen stratégique qui relève d'organismes interministériels, tels que l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ou d’un ministère particulier. L'ANSSI en donne la définition suivante : "La cybersécurité est l'état recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles. La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense".

Sans la cybersécurité fondée sur la sécurité des systèmes d'information, avec l'appui de la recherche publique et privée, pour disposer de compétences scientifiques et de moyens technologiques de haut niveau propres à garantir l'indépendance, mais aussi de la formation, avec notamment l'ANSSI et les observatoires zonaux de la sécurité des systèmes d’information (OZSSI) comme relais, la sécurité des infrastructures vitales et des données essentielles ne saurait être garantie, pas plus que les intérêts fondamentaux de la Nation.