alexandrink1966 - stock.adobe.co
Cyberattaque : et si l'eau arrêtait de couler ?
De la science-fiction ? Peut-être pas. Une cyberattaque coordonnée a ciblé l'outil opérationnel de plus de 30 systèmes d'eau communautaires au Minnesota, mettant en lumière la vulnérabilité des infrastructures critiques.
Tout commence ce 27 juillet : la village de Braham, au Minnesota, indique que l'usine locale de traitement de l'eau est déconnectée, « pour une raison inconnue ». Quelques heures plus tard, le verdict tombe : il s'agit du fruit d'une « cyberattaque malveillante [sic] sur les systèmes informatiques, par des acteurs inconnus ».
Mais cela ne s'arrête pas à Braham. Plus tard, le même jour, les villes de South St. Paul, Plymouth, et Maple Plain, feront des déclarations comparables.
Au total, 30 communautés de l'État du Minnesota ont été concernées. Pas parce qu'elles dépendent de Braham ; parce que toutes leurs usines de traitement de l'eau ont été frappées. Selon les services informatiques de l'État, cela ne fait aucun doute : il s'agit d'une « cyberattaque coordonnée ayant visé les systèmes opérationnels (OT) » des localités affectées.
L'enquête est en cours, exigeant une collaboration continue entre les partenaires fédéraux, étatiques, locaux, tribaux et du secteur privé. Le Département de la santé du Minnesota a confirmé qu'il n'y avait pas de demande active des villes pour que les résidents modifient leur consommation d'eau potable : celle-ci est toujours propre à la consommation.
Le contexte des systèmes ICS et Scada
Le ciblage des systèmes d'eau potable n'est assurément pas anecdotique : ces infrastructures critiques reposent sur des systèmes de contrôle industriel (ICS) et des systèmes de supervision et d'acquisition de données (SCADA). Ces technologies gèrent les processus opérationnels critiques, incluant la pression et la qualité de l'eau.
Surtout, cet incident ne constitue pas un événement isolé. Il s'inscrit dans une tendance plus large de ciblage des infrastructures critiques par des acteurs malveillants. Et un contexte bien particulier.
Début avril, l'agence américaine de la cybersécurité et de la sécurité des infrastructures critiques, la Cisa, homologue de l'Anssi française, a émis une alerte concernant de tels environnements opérationnels. Selon celle-ci, « des acteurs malveillants avancés persistants (APT) affiliés à l'Iran conduisent des activités d'exploitation visant des équipements OT exposés sur Internet ». Sont notamment concernés les contrôleurs logiques programmables (PLC).
À l'époque, les équipes de Tenable avaient justement fait le lien entre l'alerte de la Cisa et un groupe, les CyberAv3ngers : « un groupe de cybermenaces iranien dirigé par l'État, agissant sous le couvert de l'IRGC-CEC [un sous groupe des gardiens de la révolution islamique, N.D.L.R.]. Ce groupe est actif depuis au moins 2020 et est suivi par la communauté de la sécurité sous plusieurs noms, notamment Storm-0784 (Microsoft), Bauxite (Dragos), Hydro Kitten, UNC5691 (Mandiant) et MITRE ATT&CK ID G1027 ».
Et de rappeler que, les États-Unis ont placé sous sanctions « six responsables de l’IRGC-CEC pour avoir dirigé les opérations de CyberAv3ngers : Hamid Reza Lashgarian (chef de l’IRGC-CEC et commandant de la Force Qods de l’IRGC), Hamid Homayunfal, Mahdi Lashgarian, Milad Mansuri, Mohammad Amin Saberian et Mohammad Bagher Shirinkar ».
Enfin, en juin dernier, le leader d'un autre groupe lié aux gardiens de la révolution, Yahya Hosseini Panji, aurait été « éliminé ». Le tout sur fond d'échanges d'amabilités entre les belligérants impliqués dans le conflit qui continue de faire rage dans la région.