Les attaques de pirates informatiques contre les réfrigérateurs des supermarchés européens ont également atteint la Sicile. L’expert en cybersécurité Marco Schiaffino explique comment ils fonctionnent, qui pourraient en être derrière, comme des groupes d’activistes, et quels sont les risques encourus par les entreprises et les appareils domestiques.
Le attaques de pirates informatiques contre les réfrigérateurs des supermarchés qui ont touché plusieurs pays d’Europe sont également arrivés en Italie. Après les cas enregistrés en France et plus récemment en Belgique, en Suède, au Luxembourg et en Estonie, le 2 novembre, des cyberattaques ont également été signalées en Sicileoù certains magasins Coop – au moins quatre – entre Palerme et Catane ont subi des altérations de leurs systèmes de réfrigération, entraînant une augmentation des températures et une détérioration des aliments. L’identité des auteurs et les éventuels liens avec d’autres épisodes européens font toujours l’objet d’enquêtes de la part de la police postale et la France n’a pas encore identifié les responsables des attentats des 11 et 12 octobre.
Pendant ce temps, leAgence Nationale de Cybersécurité (ACN) a appelé les opérateurs de la chaîne d’approvisionnement alimentaire à adopter des mesures urgentes pour protéger les plantes et l’accès à distance. Mais comment les pirates informatiques prennent-ils le contrôle de ces appareils ? Qui pourrait être à l’origine de ces attaques et quels autres secteurs sont à risque ? Nous en avons parlé avec Marco Schiaffino, journaliste spécialisé dans les nouvelles technologies et la cybersécurité, auteur et animateur de l’émission Doppio Click sur Radio Popolare et du podcast Bienvenue dans la Cyber Jungle.
Les attaques contre les réfrigérateurs des supermarchés européens semblent suivre un schéma similaire. Peut-on parler d’une opération coordonnée ou s’agit-il d’épisodes distincts ?
À l’heure actuelle, rien ne prouve que les deux vagues d’attaques soient coordonnées. Ce qui s’est passé, d’un point de vue technique, n’est pas particulièrement surprenant. Les systèmes de réfrigération industrielle utilisent des télécommandes pour gérer la maintenance : lorsque des vulnérabilités informatiques sont identifiées, celles-ci sont corrigées puis les détails techniques sont publiés en ligne. Toutefois, à ce stade, les cybercriminels peuvent également connaître la vulnérabilité et savoir comment l’exploiter.
Si celui qui gère l’appareil ne met pas à jour le logiciel ou ne sécurise pas correctement la connexion, le système reste vulnérable. Il existe des services qui permettent d’identifier les appareils d’une marque spécifique connectés à Internet : un criminel peut les rechercher et tenter de les attaquer. On ne parle donc pas forcément d’une cyberattaque particulièrement sophistiquée : des compétences moyennes-faibles sont suffisantes.
Qui pourrait être derrière ces attaques ? Peut-on émettre l’hypothèse d’une opération de sabotage à visée géopolitique ?
Le doute est de savoir si c’est individus célibataires ou de un groupe de militants. En effet, les cybercriminels traditionnels agissent généralement pour des raisons économiques et utilisent souvent des techniques d’extorsion : par exemple, ils pourraient demander à une chaîne de supermarchés de payer une certaine somme d’argent, sinon ils menaceraient de bloquer tous les réfrigérateurs. Or, dans ce cas-ci, rien de tel ne semble s’être produit.
Il existe également des précédents d’attaques dites parrainées par l’État. attaques parrainées par l’État. Par exemple, des attaques contre des usines de traitement des eaux usées aux États-Unis ont été attribuées à des groupes iraniens, tandis que la Russie a mené des opérations contre les infrastructures énergétiques ukrainiennes. Il s’agit cependant d’attaques d’une ampleur et d’une complexité très différentes de celles contre les réfrigérateurs des supermarchés.
Ces épisodes mettent en lumière un problème plus vaste, celui deTechnologie opérationnelle (OT)c’est-à-dire les technologies qui contrôlent et gèrent les installations industrielles. Au cours des vingt dernières années, les connexions Internet ont été introduites pour gérer à distance les usines, les centrales énergétiques et autres infrastructures. Le problème est que ces centrales sont conçues pour durer des décennies, alors que le numérique a des cycles de vie beaucoup plus courts : une centrale hydroélectrique, par exemple, peut être conçue pour fonctionner pendant 60 ou 70 ans, tandis qu’un système informatique peut devenir obsolète en quelques années. Il existe donc un risque d’avoir des systèmes qui utilisent encore des systèmes d’exploitation tels que Windows XP ou Windows 7, pour lesquels les mises à jour de sécurité normales ne sont plus disponibles.
Cela crée d’énormes difficultés pour assurer la protection informatique des infrastructures. L’Union européenne intervient auprès du Loi sur la cyber-résiliencequi introduit des obligations de sécurité pour les fabricants d’appareils et de systèmes numériques. Toutefois, ces dispositions concernent principalement les nouveaux produits : la résolution du problème des systèmes industriels existants prendra beaucoup plus de temps.
L’Agence nationale de cybersécurité a publié des mesures pour protéger les installations. Dans quelle mesure peuvent-ils être efficaces et dans quelle mesure l’Italie est-elle préparée ?
Ces dernières années, beaucoup de travail a été réalisé sur ce sujet en Italie, également grâce à la réglementation européenne : un exemple est la directive NIS2ce qui a changé notre façon d’aborder la cybersécurité.
Autrefois, nous pensions avant tout en termes d’obligations : une fois certaines mesures adoptées, nous pensions être en sécurité. Avec NIS2, cependant, nous passons à un logique basée sur l’évaluation des risques : la protection d’une petite entreprise est très différente de la protection du système de gestion de l’eau d’une grande ville ; il est donc nécessaire de prévoir des mesures proportionnées aux risques réels.
Les indications de l’ACN sont certainement utiles. Essentiellement, ils recommandent de ne pas laisser les services et les systèmes de contrôle exposés sur Internet sans protection adéquate. Le problème est de comprendre combien d’opérateurs appliquent réellement ces mesures. Il y en a encore un mentalité du genre : « Pourquoi quelqu’un m’attaquerait-il ? » Pourtant, lors de cette deuxième vague d’attaques, non seulement les grandes chaînes de supermarchés ont été touchées, mais aussi les petits commerces alimentaires et les boucheries.
Outre les supermarchés, quels autres secteurs pourraient être particulièrement vulnérables ?
Il est nécessaire de distinguer les attaques de cybercriminalité traditionnelles, qui ont généralement des motivations économiques, de celles qui ont d’éventuels objectifs géopolitiques.
Dans le premier cas, l’un des secteurs les plus exposés est celui fabrication. Si un criminel parvient à bloquer la production d’une usine, il peut utiliser le blocus comme outil d’extorsion, exigeant une rançon pour rétablir le fonctionnement des usines.
D’un point de vue géopolitique cependant, les infrastructures qui y sont liées sont particulièrement sensibles gestion de l’eau et de l’énergiecomme les aqueducs, les barrages et les centrales électriques. Un autre secteur stratégique est celui de télécommunications: Compromettre les communications d’un pays peut avoir des conséquences très graves.
À cela s’ajoutent des cyberattaques visant à voler des informations, qui n’ont cependant pas forcément de conséquences directes sur le fonctionnement physique des systèmes.
Mais ces attaques peuvent-elles également atteindre nos maisons, via des appareils connectés comme les climatiseurs, les thermostats ou les systèmes domotiques ?
En réalité, ils sont déjà arrivés depuis quelque temps. Le problème concerne principalementInternet des objets (IoT)c’est-à-dire l’ensemble des appareils connectés à Internet. Dans la première phase de diffusion de ces technologies, la cybersécurité a souvent été sous-estimée. Des appareils tels que des robots aspirateurs, des thermostats ou des caméras de surveillance ont été conçus sans accorder suffisamment d’attention aux éventuelles vulnérabilités.
Un exemple célèbre est Miraiun botnet apparu en 2016 qui utilisait des informations d’identification par défaut pour prendre le contrôle de centaines de milliers d’appareils connectés, notamment des caméras de surveillance. Une fois compromis, ces appareils pourraient être utilisés par des criminels pour mener des cyberattaques contre d’autres cibles, par exemple surcharger un site avec des requêtes jusqu’à ce qu’il devienne inaccessible, ou pour cacher la vraie adresse IP des assaillants.
Il n’est donc pas nécessairement vrai que celui qui prend le contrôle d’un thermostat veuille modifier la température de la maison : il pourrait l’utiliser à des fins complètement différentes, sans que le propriétaire ne s’en rende compte.
Les appareils les plus récents se sont généralement améliorés en termes de sécurité, mais cela reste un problème. problème lié au comportement de l’utilisateur. Souvent, par exemple, les informations d’identification par défaut du fabricant ne sont pas modifiées, ce qui peut représenter un risque important.
Alors, où doit commencer la responsabilité de la sécurité informatique ? Et que pouvons-nous faire pour nous protéger ?
Il y a deux aspects fondamentaux. Le premier est ce qu’on appelle la sécurité dès la conceptionc’est-à-dire la nécessité de concevoir des systèmes et des dispositifs en tenant compte dès le départ de la cybersécurité, plutôt que d’intervenir seulement après l’apparition des problèmes. La seconde concerne le culture de cybersécurité : L’un des gros problèmes de la cybersécurité est qu’elle est encore considérée comme un sujet réservé à quelques spécialistes. En réalité, ce n’est pas le cas : si les choses sont bien expliquées, tout le monde peut comprendre quelles sont les précautions fondamentales pour se protégerdont la « ménagère de Voghera ».
Beaucoup plus de travail devrait être fait sur cet aspect, rendant La sécurité informatique est un sujet accessible et compréhensible par tous.