Le FBI, la NSA et la CISA ont émis une alerte formelle concernant des pirates informatiques soutenus par l'État iranien qui infiltrent activement les systèmes de contrôle industriels connectés à Internet chez les fournisseurs américains d'énergie et d'eau. Ces intrusions provoqueraient des perturbations opérationnelles et désactiveraient les fonctions critiques de surveillance de la sécurité.
Portée de la menace de cybersécurité
Les autorités fédérales ont publié un avis mis à jour avertissant que les acteurs de la menace liés à l'État iranien exploitent avec succès les réseaux opérationnels connectés à Internet. Ces attaques se concentrent sur les automates programmables, qui servent de base aux opérations industrielles. Initialement observée ciblant les équipements de Rockwell, l'enquête s'est considérablement élargie pour inclure le matériel critique fabriqué par Schneider Electric et Siemens. Les responsables avertissent désormais que pratiquement tous les systèmes de contrôle industriels qui restent exposés à l’Internet public sont confrontés à un risque accru de compromission. En manipulant les données affichées sur ces interfaces de contrôle, les attaquants créent de faux récits opérationnels pouvant entraîner des pannes physiques et une instabilité au sein des services essentiels.
Opérations tactiques et risques pour la sécurité
La sophistication de ces intrusions va au-delà du simple vol de données ou de l’espionnage et constitue une menace directe pour la sécurité des installations. Selon les enquêteurs fédéraux, au moins un fournisseur d'infrastructure a subi une faille dans laquelle des pirates ont modifié la logique de programmation interne spécifiquement pour désactiver les fonctions critiques d'arrêt et d'alarme. Cette manœuvre tactique a effectivement aveuglé les opérateurs, permettant aux systèmes industriels de passer à des états dangereux sans déclencher les avertissements ou les interventions manuelles nécessaires. De telles actions représentent une évolution délibérée vers des cyberopérations destructrices. Les agences soulignent que la principale motivation derrière ces efforts perturbateurs semble être les représailles liées au conflit géopolitique en cours impliquant les États-Unis, Israël et l’Iran, qui a débuté en février.
Modèle plus large d’activités liées à l’Iran
Ces récentes attaques contre les infrastructures font partie d’une campagne plus vaste et évolutive d’agression numérique attribuée aux acteurs iraniens depuis le déclenchement des hostilités régionales. Le spectre de ces opérations est vaste et englobe l’espionnage traditionnel, la divulgation publique de données privées et le déploiement de logiciels malveillants agressifs et destructeurs. Le collectif de hackers identifié sous le nom de Handala a notamment été associé à plusieurs incidents très médiatisés, notamment l'effacement à distance de dizaines de milliers d'appareils au sein de la société médicale américaine Stryker. Alors que le groupe a également affirmé avoir violé un fournisseur d'eau californien en juin, le service public ciblé a déclaré qu'une enquête ultérieure n'avait révélé aucune preuve d'accès non autorisé atteignant son réseau de contrôle opérationnel.
⚖ The Balanced View
Concerns & criticism
Les agences fédérales restent profondément préoccupées par le fait que la persistance de ces piratages, combinée à la modification réussie de la logique critique pour la sécurité des contrôleurs industriels, crée une forte probabilité de dommages physiques à grande échelle si les vulnérabilités des infrastructures exposées à Internet ne sont pas corrigées de toute urgence.
→What's next
Les fournisseurs d’infrastructures critiques sont invités à auditer immédiatement leurs systèmes connectés à Internet et à renforcer la sécurité des automates programmables. Les agences fédérales devraient fournir des mises à jour techniques continues tout en continuant à surveiller l'évolution des stratégies de ces groupes de piratage soutenus par l'État.