Cyberattaque au Royaume-Uni : une centrale à l’arrêt pendant quatre jours, Londres durcit sa réponse

La centrale visée n’était ni une grande installation nucléaire, ni un maillon indispensable du réseau électrique britannique. Son nom et sa localisation n’ont d’ailleurs pas été rendus publics.

Le gouvernement britannique a cependant confirmé qu’un petit générateur d’énergie avait bien été contraint de s’arrêter pendant quatre jours à la suite d’une cyberattaque survenue en juillet. Le ministre de l’Énergie Michael Shanks a insisté sur un point : personne n’a subi de coupure et, à aucun moment, l’approvisionnement électrique national n’a été menacé.

L’affaire n’en est pas moins prise au sérieux. Le gouvernement a réuni des responsables du secteur énergétique et travaille avec le National Cyber Security Centre, le NCSC, pour examiner la menace et renforcer les mesures de protection.

La piste iranienne reste à confirmer

Les premières informations publiées par la presse britannique ont attribué l’attaque à des pirates liés à l’Iran. Les autorités britanniques n’ont toutefois pas officiellement désigné l’Iran, les Gardiens de la révolution ou un groupe précis comme responsables.

Cette nuance est importante.

Le NCSC avait déjà demandé aux entreprises britanniques, au mois de juin, de revoir leur niveau de sécurité en raison de la dégradation de la situation au Moyen-Orient. L’agence estimait alors que les groupes liés à l’Iran conservaient des capacités d’action informatique et signalait un risque accru pour les organisations disposant d’activités ou de chaînes d’approvisionnement dans la région.

La cyberattaque britannique intervient donc dans un environnement qui était déjà surveillé, sans que cela suffise pour autant à établir publiquement son origine.

Londres veut pouvoir agir sur les fournisseurs à risque

Les conséquences de l’incident dépassent désormais la seule centrale touchée.

Le gouvernement britannique travaille à un durcissement de son Cyber Security and Resilience Bill. Parmi les mesures proposées figure la possibilité d’intervenir davantage sur les chaînes d’approvisionnement des secteurs sensibles et, lorsque la sécurité nationale l’exige, de limiter l’utilisation de technologies ou de fournisseurs considérés comme présentant un risque.

Le texte prévoit également un changement important pour les entreprises concernées par la réglementation cyber : un incident significatif devra faire l’objet d’une première notification dans les 24 heures, puis d’un rapport plus complet dans les 72 heures. Le NCSC devra être informé en même temps que le régulateur.

Pour Londres, le sujet n’est donc plus seulement de savoir comment arrêter une attaque une fois qu’elle a commencé. Il s’agit aussi de connaître les équipements utilisés, les entreprises qui les fournissent et les dépendances technologiques susceptibles de devenir une porte d’entrée.

Les réseaux d’eau américains également visés

Le Royaume-Uni n’est pas seul confronté à ce type de menace.

Le FBI et l’Agence américaine de protection de l’environnement ont alerté fin juillet sur des attaques visant des équipements industriels utilisés par des réseaux d’eau et d’assainissement. Au moins sept États avaient officiellement signalé des incidents au FBI depuis le 27 juillet, certains ayant perturbé le fonctionnement des installations. D’autres sources américaines ont depuis fait état d’incidents dans au moins douze États.

Les pirates ont notamment visé des automates industriels — les PLC — directement accessibles depuis Internet. Dans certains cas, ils ont modifié leurs adresses IP et leurs mots de passe, privant les exploitants d’une partie de leurs capacités de contrôle.

Les autorités américaines avaient déjà publié au printemps une alerte spécifique concernant des acteurs affiliés à l’Iran ciblant ces équipements dans les infrastructures critiques. Cette alerte a été actualisée en juillet.

Un nouvel incident montre aussi combien la chaîne de fournisseurs elle-même peut devenir sensible. Le FBI enquête depuis sur une cyberattaque ayant visé Micro-Comm, une entreprise américaine qui fabrique justement des équipements de contrôle destinés aux installations de traitement de l’eau. Selon les premiers éléments rapportés le 26 août, cette attaque semble toutefois être une opération crapuleuse distincte, et non une action attribuée à l’Iran.

Une cyberattaque peut désormais arrêter la production

C’est probablement le principal enseignement pour les entreprises.

Pendant longtemps, le risque cyber a surtout été associé au vol de données, au ransomware ou au blocage des systèmes informatiques. Les attaques contre les infrastructures industrielles ajoutent une autre dimension : un incident informatique peut désormais provoquer l’arrêt physique d’une installation.

Énergie, eau, industrie, transports ou logistique disposent de milliers d’équipements connectés dont certains ont été installés bien avant que leur exposition à Internet ne devienne un sujet central.

Le FBI recommande notamment de ne pas laisser les automates industriels directement accessibles depuis Internet, de renforcer les contrôles d’accès et de séparer autant que possible les systèmes indispensables au fonctionnement des installations.

Le NCSC britannique vient également de publier de nouvelles recommandations destinées aux dirigeants confrontés à une attaque grave. L’objectif est de pouvoir maintenir un niveau minimum d’activité, organiser la réponse dès les premières heures puis reconstruire les systèmes sans improviser en pleine crise.

Business Times avait déjà abordé cette évolution du risque cyber avec la cyberattaque contre La Poste et ses conséquences sur une grande infrastructure française, ainsi que dans notre dossier consacré au manque de profils spécialisés en cybersécurité dans les entreprises.

L’incident britannique a été limité et n’a privé personne d’électricité. C’est justement ce qui le rend instructif : il donne aux autorités un aperçu de ce que pourrait provoquer une attaque comparable contre une installation beaucoup plus importante.