Tout système informatique peut être piraté

Source : Ouest-France.fr par Klervi Drouglazet

Site web, centrale nucléaire, aéroport… Les cibles des hackeurs vont des particuliers aux grandes industries et gouvernements du monde entier. En 2015, le nombre de cyberattaques a progressé de 38 % à travers la planète. Tanguy de Coatpont, directeur général de Kaspersky Lab France et Afrique du Nord, nous livre son expertise en sécurité informatique.

Les systèmes informatiques sont-ils vulnérables ?
Il faut garder à l’esprit que tout système informatique peut être « hacké », piraté. Tout système informatique est, d’une manière ou d’une autre, connecté à internet ou à un autre réseau informatique. Les hackeurs pénètrent généralement le réseau principal et effectuent des déplacements horizontaux pour arriver au final à infecter le réseau secondaire.
Un virus avait touché un site iranien d’enrichissement d’uranium en 2010…
Le virus Stuxnet a touché un site iranien d’enrichissement d’uranium et a détruit plusieurs installations. En introduisant un virus dans l’infrastructure industrielle, des centrifugeuses d’enrichissement d’uranium ont été détruites parce que le virus a changé le sens et la vitesse de rotations des centrifugeuses.

C’est le problème des systèmes industriels Scada [systèmes industriels commandés par des logiciels, NdlR] qui sont très souvent interconnectés à des réseaux informatiques classiques par lesquels ils peuvent être infectés de manière accidentelle (victime collatérale) ou volontaire par des hackeurs. Le risque est assez limité parce qu’il faut tout de même des connaissances très importantes. Ce n’est pas le premier petit pirate informatique du coin de la rue qui est capable de faire ça. Il faut aussi des moyens importants.
Qu’entendez-vous par « importants » ?
Il faut des connaissances assez lourdes. Et il faut que cette personne soit prête à investir des sommes d’argent conséquentes pour le faire. Techniquement, il faut un peu de matériel, de l’investissement en recherche pour comprendre comment les systèmes fonctionnent, comment entrer dedans et, une fois dedans, ce que l’on peut faire avec…
Dans le cas du virus Stuxnet, il s’agit d’une simple clé USB introduite sur le site industriel…
C’est effectivement une clé USB qui a été introduite dans l’infrastructure et qui a permis d’infecter le système industriel ! Il n’y a même pas eu besoin de complice… La curiosité humaine fait que si vous laissez une clé USB par terre devant l’entrée de bureaux, vous êtes sûr qu’une demi-heure après, la clé est branchée sur un PC.

Il y a eu un autre incident dont on a peu parlé. Une aciérie en Allemagne a fait l’objet d’une cyberattaque, en décembre 2014. Cette cyberattaque a provoqué la destruction d’un des hauts fourneaux de l’aciérie. Il s’agit du deuxième cas connu – même s’il y en a peut-être eu d’autres non médiatisées – où il y a eu une destruction physique suite à une attaque informatique. Les conséquences ont été graves.
Et qu’en est-il de la sécurité aérienne ? Un hackeur au sol peut-il prendre le contrôle d’un avion ?
Techniquement, à partir du moment où il y a de l’informatique, vous pouvez potentiellement tout faire… En ce qui concerne les avions, c’est un petit peu plus récent. Un chercheur a réussi, à travers le système de divertissement de l’appareil [système diffusant films, jeux, etc. sur les écrans des passagers, NdlR], à se connecter au réseau de l’avion qui sert à piloter l’avion.
Suite à cela, l’agence européenne pour la sécurité aérienne a demandé à un hackeur de voir ce qu’il était capable de faire. Et il a prouvé qu’il pouvait relativement facilement pénétrer le système informatique qui contrôle les informations de communication entre l’avion et les centres de commande au sol. Ces systèmes permettent d’envoyer et d’obtenir des informations sur ce qu’il se passe dans l’avion. À quelle altitude il est, à quelle vitesse il va, etc.
Comme l’a dit le directeur de l’Agence de sécurité aérienne européenne [Patrick Ky, NdlR], dans un avenir très proche, des opérateurs au sol vont pouvoir directement envoyer des ordres aux avions, pour les faire changer de couloir aérien par exemple. Ce système-là est informatisé. Si quelqu’un de malveillant prend la main dessus, il peut potentiellement provoquer un drame.
En France, le nombre de cyberattaques a progressé de 54 % ces 12 derniers mois…
Et le gouvernement français ne s’y trompe pas. L’Agence gouvernementale nationale de la sécurité des systèmes d’information a beaucoup œuvré, ces dernières années, pour protéger ces infrastructures critiques. En France, on parle d’OIV, opérateurs d’importance vitale. Il y a eu un travail de fond pour aider ces acteurs à se sécuriser et à avoir une obligation de déclarer tous les incidents de cybersécurité à l’Agence, pour qu’elle puisse mener des investigations et augmenter le niveau de protection des infrastructures.

Qui sont ces opérateurs critiques ?
Ils font partie d’une liste qui n’est pas publique parce qu’il s’agit d’une information critique. On sait qu’ils existent mais on n’a pas la liste. On se doute bien qu’il s’agit d’infrastructures importantes pour la France comme les opérateurs télécoms, les centrales nucléaires, tout ce qui touche à l’énergie, à l’électricité, au traitement de l’eau… Tout ce qui est vital pour un pays.
Votre entreprise Kaspersky est-elle appelée à protéger ces opérateurs ?
Notre rôle est d’aider les sociétés, qu’elles soient d’importance vitale ou pas, à protéger leurs informations et leurs systèmes informatiques. On intervient aussi en tant qu’experts dans des investigations. On travaille avec Interpol [Organisation internationale de police criminelle ou OIPC, NdlR] sur des cas concrets. Des chercheurs travaillent sur des incidents de sécurité pour fournir un rapport : expliquer comment ça s’est passé, quelles informations ont été volées ou détruites, et ce qu’il faut faire pour remettre le système en état de marche.
Dans ces rapports on ne nomme pas les victimes, cela doit rester secret. On communique simplement le nom des victimes aux autorités. On n’est pas là pour se substituer aux forces de police.

Comment évoluent ces cyberattaques ?
La grande tendance, c’est que les attaques sont de plus en plus ciblées. On a de moins en moins affaire à des attaques de grande ampleur. Elles ciblent des sociétés ou des gouvernements par exemple. C’est extrêmement compliqué de se prémunir contre les attaques ciblées, parce que les organisations qui les lancent ont des moyens financiers importants. Elles sont donc capables de mener des attaques très sophistiquées qu’il est difficile de parer.
Comment s’en prémunir ?
La technologie peut contrer des cyberattaques mais il reste toujours le facteur humain. Ce dernier est l’élément le plus important pour se prémunir contre tous types d’attaques. La sensibilisation, l’éducation et la formation à la cybersécurité pour tous les employés d’une société, c’est hyper important. Il faut leur expliquer ce que c’est un fichier, que lorsqu’ils reçoivent un e-mail d’une adresse inconnue et qu’il y a une pièce jointe, il faut se méfier…
Lorsqu’on analyse une attaque, on est vraiment sur la partie technique. On essaye de comprendre comment ça s’est passé. Notre rôle n’est pas de faire des attributions ni de chercher d’où vient l’attaque. En informatique, c’est très facile de maquiller une cyberattaque et de faire croire que l’action vient de Chine par exemple. Quand on analyse le code des virus, on peut avoir une idée de la nationalité de ceux qui l’ont créé. Pour l’heure, la coopération au niveau mondial sur la cybersécurité est assez embryonnaire. Le gros de notre travail passe par la prévention.