Cyber entreprise

Comment la Cyber-sécurité transforme l'Entreprise

Le blog de Guy-Philippe Goldstein

Cybermenace sur le robinet d'eau, épisode 4

Publié le

Cybermenace sur le robinet d'eau, épisode 4
Comment se préoccuper de cybersécurité quand les moyens manquent déjà pour rénover des réseaux d'eau vieilissants ?
© FRANCOIS GRUNBERG

La grande banlieue de Tampa, en Floride, vient de subir une cyberattaque contre ses infrastructures d’eau [lire l'épisode 1], mais également de nombreux autres pays, y compris Israël [lire l'épisode 2]. Ces infrastructures sont mal protégées [lire l'épisode 3]. Les gestionnaires de réseaux d'eau se sont longtemps crus non concernés par le cyberrisque. Souffrant d'un manque d'investissements, ils se sont focalisés sur la protection de la santé de la population, oubliant celle de leurs systèmes informatiques.

Mauvaises pratiques et budgets en berne

Comme on se concentre d’abord sur la sûreté des processus pour éviter les dommages physiques et humains, il n’y a pas de grands focus sur la cybersécurité elle-même. Par conséquent, les pratiques sont médiocres. Il y a peu d’échanges d’information. Ainsi que l'explique l'expert américain Brian Krebs, qui a discuté avec plusieurs opérateurs [1], la plupart du temps, on n’a tout simplement pas entendu parler de ce type de failles ! Et il est possible que pour Oldsmar, en Floride, l’attaque ait été rendue publique précisément en raison de la proximité et de la pression médiatique du Super Bowl de Tampa [lire l'épisode 1]… Les logiciels utilisés ne correspondent pas non plus à de bonnes pratiques pour ce type de système industriel – qu’il s’agisse de TeamViewer, qui donne trop d’accès aux systèmes [2], ou de Windows 7, encore utilisé malgré le fait que Microsoft n’assure plus sa maintenance [3]. Il faut noter d’ailleurs qu’à Oldsmar, TeamViewer n’était plus utilisé depuis six mois… mais n’avait toujours pas été désinstallé [4] ! Enfin, le fait que tous les utilisateurs utilisaient le même mot de passe pour accéder à TeamViewer n’a probablement pas aidé à la cybersécurité des systèmes [5].

Du reste, pourquoi renforcer la cybersécurité quand le secteur n’intéresse pas énormément les groupes cybercriminels ? Et ce pour une raison simple : les infrastructures de service d’eau ont peu d’argent et des marges souvent faibles – que l’on soit aux États-Unis, où elles sont gérées souvent par des petites structures municipales, ou bien en Europe. Ainsi, en France, le vieillissement des canalisations, confronté à des usages accrus et des usures plus fortes en raison du risque toujours plus grand de réchauffement climatique, pèse sur un secteur victime de sous-investissement. La Fédération professionnelle des entreprises de l’eau (FP2E) estime qu’il faudrait investir au moins 9 milliards d'euros par an sur l’eau et l’assainissement au lieu des 6 milliards consentis [6]. D’après l’Union nationale des industries et entreprises de l’eau et de l'environnement (UIE), un déficit annuel d’investissement « abyssal » s’est creusé [7]. Quelle place, alors, pour la cybersécurité ?

Mais à force de trop abandonner un secteur pourtant vital pour l’activité humaine, on risque de constituer une superbe cible pour les cybercriminels qui y verraient une nouvelle façon d’exploiter économiquement ce « ventre mou » ; ou pour les États-nations cherchant de nouvelles manières d’affaiblir par cybercoercition. La réaction israélienne face à l’attaque iranienne en mars 2020 [lire l'épisode 2] est peut-être une manière de marquer une ligne rouge et de ne pas accepter, justement, la création de ce type de « ventre mou ». Même si la cyberattaque à Oldsmar vient d’un employé mécontent, elle doit constituer une forme de réveil pour le secteur et pour ses partenaires. On parle beaucoup de résilience depuis la crise Covid-19. Mais quelle activité agricole, industrielle ou simplement de logement résidentiel pourrait continuer à tourner normalement si tout d’un coup, pour des raisons de sécurité, l’eau était coupée ? Par exemple, pendant les étés de plus en plus caniculaires que nous promet le réchauffement climatique ?

Certaines puissances étrangères, comme l'Ukraine et la Finlande, ont vécu l’interruption malveillante du chauffage central et de l’électricité en plein hiver. Pourquoi pas, demain, l’arrêt de la distribution de l’eau en plein été ?

 

-----------------------

[1] https://krebsonsecurity.com/2021/02/whats-most-interesting-about-the-florida-water-system-hack-that-we-heard-about-it-at-all/

 

Créez votre compte L’Usine Connect

Fermer
L'Usine Connect

Votre entreprise dispose d’un contrat
L’Usine Connect qui vous permet d’accéder librement à tous les contenus de L’Usine Nouvelle depuis ce poste et depuis l’extérieur.

Pour activer votre abonnement vous devez créer un compte

Créer votre Compte