Des pirates informatiques liés à l’Iran ont récemment tenté des cyberattaques contre des réseaux d’eau, des installations énergétiques, des réseaux de télécommunications et d’autres infrastructures critiques américaines, élargissant une campagne visant les systèmes industriels qui contrôlent des équipements physiques. Quatre personnes ayant accès à des informations gouvernementales et sectorielles américaines sur les cybermenaces ont déclaré à NBC News que ces dernières tentatives étaient jusqu’à présent restées infructueuses. Cette activité intervient après une vague bien plus vaste d’attaques contre les services publics de distribution d’eau américains cet été, qui a révélé à quel point les équipements industriels connectés à internet demeurent vulnérables.
Les tentatives récentes se sont concentrées sur la technologie opérationnelle connectée à l’internet public, y compris les automates programmables industriels (API), utilisés pour actionner pompes, vannes, moteurs et autres équipements physiques. Un avis conjoint du 22 juillet, émis par le FBI, la CISA, la NSA, l’EPA, le département de l’Énergie et le Commandement cybernétique des États-Unis, avait averti que des acteurs affiliés à l’Iran exploitaient des technologies opérationnelles connectées à internet dans plusieurs secteurs d’infrastructures critiques américains. Les agences avaient d’abord mis en avant les équipements Rockwell Automation, avant d’élargir leur avertissement aux ciblages observés visant Schneider Electric, Siemens et potentiellement d’autres fabricants d’automates.
L’ampleur de cette menace s’est précisée au cours de l’été. La CISA a révélé en août que des acteurs malveillants avaient visé plus de 100 systèmes exposés sur internet dans le secteur américain de l’eau et des eaux usées durant le mois de juillet, selon une enquête de NBC. Le gouvernement fédéral n’a pas publiquement attribué l’ensemble de cette campagne à l’Iran, bien que des responsables aient enquêté pour déterminer si des pirates informatiques iraniens en étaient responsables.
Certaines de ces attaques antérieures sont parvenues à perturber les opérations. Le FBI et l’EPA ont indiqué que des services publics d’au moins sept États avaient signalé des incidents à partir du 27 juillet, au cours desquels des attaquants avaient accédé à des automates Rockwell Automation/Allen-Bradley MicroLogix 1100 et 1400 exposés sur internet. Les attaquants ont modifié les adresses IP et les mots de passe, privant les opérateurs de leurs fonctions de surveillance et de contrôle, et certaines de ces activités ont dégradé le fonctionnement des installations de distribution d’eau.
Des acteurs iraniens ont déjà ciblé ce type d’équipement par le passé. Les agences américaines ont formellement relié le pseudonyme CyberAv3ngers au Corps des gardiens de la révolution islamique iranien et documenté des attaques contre des automates utilisés dans les infrastructures américaines de l’eau et d’autres infrastructures critiques. Un avis de la CISA a établi que ce groupe exploitait fréquemment des équipements directement exposés à internet et protégés par des identifiants faibles ou par défaut.
Les toutes dernières tentatives semblent élargir la menace à des secteurs supplémentaires, alors même que les États-Unis et l’Iran échangent de nouveau des attaques militaires au Moyen-Orient. Les responsables de la sécurité n’ont pas qualifié cette concordance de calendrier de coordonnée. Cette coïncidence soulève néanmoins la crainte que des tentatives répétées visant à identifier et à accéder à des systèmes industriels vulnérables puissent donner à des acteurs liés à l’Iran une connaissance accrue des infrastructures américaines si la confrontation plus large venait à s’intensifier.
Ce risque ne signifie pas que les dernières tentatives aient donné aux pirates informatiques iraniens la capacité de provoquer une perturbation physique de grande ampleur. NBC rapporte que les attaques récentes sont, jusqu’à présent, restées infructueuses, et rien n’indique que des pirates liés à l’Iran soient sur le point de mettre à l’arrêt le réseau électrique américain ou de causer une perturbation à grande échelle de l’approvisionnement en eau du pays. Les incidents précédents témoignent d’une menace plus circonscrite : des automates mal protégés peuvent être manipulés de manière à temporairement entraver la capacité des opérateurs à surveiller ou à contrôler des équipements physiques.
Le danger tient en partie à la simplicité des cibles. Des automates industriels directement connectés à internet peuvent exposer des systèmes responsables de processus réels, sans que les attaquants aient besoin de pénétrer des réseaux d’entreprise lourdement protégés. Le FBI et l’EPA recommandent de retirer les automates de toute exposition directe à internet, de les placer derrière des passerelles sécurisées et des pare-feu, et d’utiliser des mots de passe et des contrôles d’accès robustes.
Pour les autorités américaines, le défi immédiat est donc à la fois défensif et stratégique. Sécuriser les systèmes industriels exposés permettrait de combler des vulnérabilités que des attaquants relativement peu sophistiqués tentent déjà d’exploiter. Alors que la confrontation avec l’Iran se poursuit, cette dernière activité montre également comment des opérations cybernétiques pourraient étendre le conflit au-delà des cibles militaires du Moyen-Orient, vers des infrastructures civiles à l’intérieur même des États-Unis.
