À la suite de cyberattaques ciblant plus de 30 systèmes d’eau municipaux à travers le Minnesota, le FBI et l’EPA ont averti les propriétaires et les exploitants d’actifs d’infrastructures critiques que des acteurs malveillants ciblent les appareils technologiques opérationnels utilisés dans les installations d’eau et de traitement des eaux usées.
Depuis le 27 juillet, les sociétés d’eau et d’assainissement de sept États ont signalé des incidents au FBI, certains d’entre eux ayant entraîné une dégradation du service, ont indiqué les agences dans un communiqué d’intérêt public.
Les effets opérationnels signalés au FBI incluent une perte de pression et des inondations, ajoute le communiqué. La perte de pression dans les systèmes d’eau pourrait potentiellement permettre aux eaux souterraines non traitées de s’infiltrer dans les canalisations, explique-t-il.
Les contrôleurs logiques programmables (PLC) Rockwell Automation/Allen-Bradley, en particulier les séries MicroLogix 1100 et 1400, constituent une cible principale. Lorsque ces automates sont exposés à Internet, les attaquants peuvent altérer à distance les configurations des appareils.
Une fois que les attaquants ont accès à un automate, ils peuvent modifier son adresse IP et son mot de passe, entraînant une perte de vue et, dans certains cas, du fonctionnement des équipements connectés dans les installations ciblées. Le FBI a également signalé qu’une organisation avait découvert des fichiers de projet PLC modifiés après avoir identifié des écarts de logique à relais sur plusieurs sites.
Tendance croissante
Les attaques contre les installations d’approvisionnement en eau et de traitement des eaux usées semblent être une tendance croissante. « Le public américain doit être conscient et non craintif des cyberattaques qui peuvent avoir un impact sur sa vie quotidienne », a observé Andrew Chipman, directeur GRC et ISO chez ProCircular, une société de conseil en cybersécurité basée à Coralville, Iowa.
« L’eau, l’électricité, Internet – ces choses sont de plus en plus attaquées par des États-nations étrangers, des cybercriminels et des activistes idéologiquement alignés », a-t-il déclaré à TechNewsWorld. « La raison en est qu’il s’agit de cibles faciles – rarement sécurisées de manière appropriée – et qu’elles ont un impact important sur les villes touchées. »
En outre, a-t-il souligné, « les automates programmables sont notoirement difficiles à mettre à jour et ne sont pas pris en charge par les fabricants qui proposent des mises à jour suffisamment fréquentes ».
Les automates attirent les attaquants car ils contrôlent directement les processus physiques, ce qui permet aux cyberattaques de produire des conséquences réelles, telles que des interruptions de service ou des dommages aux équipements, a expliqué David Kertai, assistant de recherche à l’Information Technology & Innovation Foundation (ITIF), un groupe de réflexion scientifique et technologique basé à Washington, DC.
« De nombreuses installations de traitement de l’eau et des eaux usées s’appuient encore sur des automates existants conçus pour la fiabilité plutôt que pour la cybersécurité », a-t-il déclaré à TechNewsWorld. « Ces systèmes manquent souvent d’authentification forte, de cryptage et de contrôles d’accès modernes, ce qui en fait des points d’entrée attrayants pour les adversaires. »
Changement de tactique
Kertai a noté que les attaques ciblant les infrastructures critiques se sont multipliées à mesure que les adversaires reconnaissent que de nombreux systèmes d’eau et de traitement des eaux usées reposent encore sur une technologie vieillissante et disposent souvent de ressources de cybersécurité limitées.
« Les services publics ont adopté des outils numériques pour la surveillance à distance, l’automatisation et l’efficacité opérationnelle, améliorant ainsi les performances tout en augmentant le nombre de systèmes nécessitant une protection », a-t-il expliqué. « De nombreuses installations continuent d’exploiter des équipements existants qui n’ont pas été conçus pour résister aux cybermenaces actuelles, créant ainsi des opportunités à la fois pour les acteurs étatiques et les cybercriminels. »
L’environnement des menaces OT et ICS a franchi un seuil, a affirmé James Maude, directeur technique sur le terrain chez BeyondTrust, fabricant de solutions de gestion de comptes privilégiés et de gestion des vulnérabilités à Carlsbad, en Californie.
« L’année dernière, plusieurs groupes menaçants ont dépassé la reconnaissance pour cartographier activement les systèmes de contrôle industriel afin de comprendre comment les effets physiques peuvent être induits », a-t-il déclaré à TechNewsWorld. « Nous constatons également que les groupes de ransomware s’intéressent de manière significative aux environnements OT et commencent à se spécialiser. »
« Ce n’est pas seulement le nombre d’acteurs menaçants qui augmente », a-t-il déclaré, « la sophistication des attaques augmente également ».
« Les services publics municipaux sous-financés sont devenus des cibles récurrentes pour les cyber-adversaires car ils offrent l’opportunité de perturber les services essentiels et d’exposer les faiblesses systémiques », a ajouté Matthew Hartman, directeur de la stratégie du Merlin Group, un réseau de filiales basé à Tysons Corner, en Virginie, qui investit, permet et développe des entreprises de cybertechnologie.
« Chaque perturbation comme celle-ci mine la confiance du public, c’est exactement pourquoi la résilience opérationnelle doit atteindre les communautés qui en ont le plus besoin », a-t-il déclaré à TechNewsWorld.
Un changement dans les tactiques des acteurs malveillants contribue également à l’augmentation des attaques contre les infrastructures critiques. « Les attaques deviennent reproductibles », a observé Harry Thomas, CTO et co-fondateur de Frenos, fournisseur d’une plateforme d’évaluation de la sécurité et de tests d’intrusion pour les infrastructures critiques et les environnements industriels, à Charlotte, en Caroline du Nord.
« Les automates connectés à Internet, les modems cellulaires et les configurations tierces standardisées offrent aux attaquants des chemins similaires vers plusieurs utilitaires », a-t-il déclaré à TechNewsWorld. « Une méthode efficace peut être réutilisée sans développer une attaque unique pour chaque installation. »
Conseils de protection
Le FBI et l’EPA ont recommandé plusieurs mesures pour protéger les systèmes d’eau et de traitement des eaux usées contre les cyberattaques. Ils comprennent :
- Déconnexion des automates de l’Internet public ;
- S’assurer que les mots de passe des appareils sont des combinaisons complexes et uniques de lettres, de chiffres et de symboles ;
- Contrôler strictement l’accès au réseau aux appareils CPL ;
- Placer les interrupteurs à clé physiques et logiciels en position d’exécution pour bloquer les modifications non autorisées de la logique, de la configuration et du micrologiciel ;
- Pratiquer et maintenir la capacité à faire fonctionner les systèmes OT manuellement ;
- Examiner les fichiers de projet exécutés sur les automates pour détecter toute modification non autorisée ; et
- Planifier les remplacements en fin de vie lorsque cela est possible.
Une base solide
Kertai, de l’ITIF, a noté que les recommandations du FBI et de l’EPA constituent une base solide pour améliorer la cybersécurité des systèmes d’eau et de traitement des eaux usées. « Le renforcement des politiques de mots de passe, la segmentation des réseaux, la restriction de l’accès à distance et la formation des opérateurs à maintenir des opérations manuelles réduisent les risques tout en améliorant la résilience », a-t-il déclaré.
« Les orientations mettent également l’accent sur le remplacement du matériel obsolète, qui reste l’une des plus grandes vulnérabilités du secteur », a-t-il ajouté. « Associées à des investissements soutenus dans la modernisation, ces recommandations donnent aux services publics une feuille de route pratique et basée sur les risques pour renforcer la cybersécurité. »
« Ils ont fait de bonnes recommandations, mais ne sont pas allés assez loin », a affirmé Bill Moore, PDG et fondateur de Xona, un fournisseur d’accès à distance sécurisé pour les infrastructures critiques, à Hanover, Maryland.
« Ils ne prescrivent pas ce qui est le plus nécessaire », a-t-il déclaré à TechNewsWorld. « Par exemple, les protocoles de communication tels que Web et VNC ne doivent pas sortir du réseau critique. »
« Tout ce qui est présenté comme recommandation est recommandé par les professionnels de la sécurité depuis des années, voire des décennies », a ajouté Dahvid Schloss, COO de Suzu Labs, fournisseur de services de cybersécurité basés sur l’IA à Las Vegas.
« Si c’est ce qui amène les organisations à écouter, qu’il en soit ainsi », a-t-il déclaré à TechNewsWorld, « mais il y a une raison pour laquelle beaucoup d’entre nous se penchent sur ce livre depuis si longtemps. »
Critique à la résilience des infrastructures
Schloss a soutenu que le public devrait être très préoccupé par ce type de cyberattaques.
« Cela étant dit », a-t-il poursuivi, « ces attaques ne sont pas nouvelles et constituent un point d’intérêt commun pour les États-nations alors qu’ils tentent de se positionner dans le jeu géopolitique plus vaste ».
« La raison pour laquelle le public devrait s’inquiéter est que la perturbation des services publics comme l’eau, l’électricité, le gaz ou d’autres services publics peut causer des dommages bien plus importants et à plus long terme que les formes typiques d’agression cinétique », a-t-il déclaré, « tout en fournissant également une mauvaise attribution, voire une non-attribution, de l’acteur à l’origine. »
L’un des points clés à retenir est que la sécurité des CPL n’est plus uniquement une préoccupation opérationnelle, a ajouté Kertai de l’ITIF.
« C’est un élément essentiel de la résilience des infrastructures », a-t-il affirmé. « Les systèmes d’approvisionnement en eau soutiennent les services publics essentiels et l’activité économique, de sorte que les perturbations peuvent avoir des conséquences bien au-delà d’un seul service public. »
« De nombreux opérateurs ont besoin d’investissements soutenus, de développement de la main-d’œuvre et de modernisation technologique pour suivre l’évolution des cybermenaces », a-t-il poursuivi. « Le renforcement de la collaboration entre les services publics, les fournisseurs de technologie et les agences fédérales sera tout aussi important que le déploiement de nouveaux outils de cybersécurité. »
« Traiter la cybersécurité comme un élément essentiel de la modernisation des infrastructures, plutôt que comme une mise à niveau facultative, permettra au secteur de mieux se positionner pour faire face aux menaces futures », a-t-il déclaré.
