Blackout : Les réseaux électriques à la merci des hackers


Centre névralgique par excellence de notre civilisation moderne, la moindre des actions de notre quotidien est dépendante du réseau électrique sans lequel nos existences seraient bien différentes. L'utilisation de cette énergie qui nous est distribuée et que nous utilisons tous les jours est tellement profondément ancrée en nous que nous en oublions son importance vitale et à quel point nous en sommes dépendants.

Pourtant, ce cœur de notre système qui se doit d'être protégé comme nul autre l'est-il réellement ? Sommes nous à l'abri d'actes malveillants capables de nous priver de cet indispensable courant électrique ? Visiblement pas comme le démontre une nouvelle expérience dans laquelle une compagnie américaine a recruté des hackers pour tester la sécurité de son réseau.

C'est un article paru sur le site de science et avenir qui le relate, et bien que celui ci se termine par une note rassurante, vous constaterez par la suite qu'il manque d'objectivité.

Un réseau électrique piraté en 3 jours

1466512689_electricgrid-night-e1360424838136.jpgLa découverte en 2010 du ver informatique Stuxnet visant les centrales nucléaires iraniennes a rendu très concrète la menace de cyberattaques sur les réseaux électriques (NDV : en savoir plus sur les réelles origines de ce virus). Cette fois, c'est une petite compagnie électrique américaine qui a fait les frais d'une attaque sur ses installations.

Toute l'opération a été menée devant les caméras de journalistes du site TechInsider (voir vidéo ci-dessous). C'était donc pour la bonne cause. En effet, l'initiative venait de la compagnie elle-même, qui a recruté des hackers de la société RedTeam Security pour tester la sécurité de son réseau. En seulement trois jours, les pirates ont réussi à pénétrer dans plusieurs bâtiments et obtenu un accès total au réseau. Ils étaient alors en mesure de voler les données privées de 50 000 clients de la compagnie et de provoquer une rupture de courant. Mieux, selon TechInsider, ils auraient pu avec un peu plus de temps, étendre l'attaque au niveau régional voire national.

L'intérêt de cette opération largement filmée, c'est qu'elle casse le mythe du pirate qui attaque sa cible en restant tranquillement installé dans sa chambre, derrière son écran: l'équipe du RedTeam Security a dû reconnaître les lieux physiquement, manipuler des employés, entrer dans les bâtiments par effraction ou encore utiliser des badges électroniques falsifiés.


Source science et avenir

Arrivé à ce point, et bien la possibilité de la chose puisse encore quelque peu vous effrayer, vous vous sentez rassuré après la lecture du passage « elle casse le mythe du pirate qui attaque sa cible en restant tranquillement installé dans sa chambre... ». Mais est-ce une opération de communication destinée à vous sécuriser, ou bien la réalité peut elle être différente ? Vous allez constater qu'il peut en être autrement dans ce qui suit, puisqu'en janvier 2016, des pirates informatiques ont réussi à provoquer une coupure de courant générale dans l’ouest de l’Ukraine, plongeant des milliers d’habitants dans le noir.

Des hackers provoquent un blackout en Ukraine

C’est sans doute une première. Des pirates informatiques ont réussi à s’infiltrer dans les ordinateurs appartenant au réseau national ukrainien et à provoquer un blackout dans la région d’Ivano-Frankiusk, dans l’ouest de l’Ukraine, plongeant ainsi des milliers de personnes dans le noir pendant plusieurs heures. Pour parvenir à leurs fins, il semblerait que ces hackers aient utilisé des méthodes classiques d’ingénierie sociale, exploitant les failles humaines.

C’est l’intervention de personnes non autorisées […] dans le système de commande à distance » qui a provoqué la panne. Les techniciens ont ensuite dû rétablir le courant « manuellement

, a précisé la compagnie d’électricité locale Prikarpattiaoblenergo. Selon une autre source citée par l’AFP,

Le système automatique a cessé de fonctionner, les ordinateurs se sont éteints

Un malware implanté dans un fichier Excel serait à l’origine de l’infection du réseau d’ordinateurs, réalisé grâce à une campagne de phishing des plus classiques. Le fichier a été activé par des employés de la station d’alimentation, déployant ainsi le cheval de Troie « Black Energy » dans tout le réseau. Le malware, contenant une charge utile « KillDisk », a rendu les principaux terminaux inopérants, permis l’activation de backdoors et donc des accès extérieurs.

C’est une étape clé parce que nous avions bien vu des événements ciblés destructeurs contre l’énergie auparavant — tels que des industries pétrolières —, mais jamais d’événement qui provoque un blackout. C’est le scénario catastrophe que l’on redoutait depuis très longtemps

1466508618_powerline-640x480.jpg, a expliqué John Hultquist, responsable des activités cyberespionnage chez iSIGHT Partners, au site ArsTechnica.

Des chercheurs du fournisseur d’antivirus ESET ont confirmé que d’autres fournisseurs d’énergie ukrainiens et polonais avaient également été infectés par Black Energy.

Cette attaque porterait la marque de pirates russes de « Sandworm » (Engadget et Reuters), qui auraient précédemment ciblés d’autres fournisseurs d’énergie ukrainiens, mais aussi européens et américains. Le ministère de l’Énergie ukrainien a annoncé le lancement d’une enquête jeudi 31 décembre tandis que les services secrets pointent également du doigt la Russie (NDV : Eh oui, encore ce méchant Poutine), qui n’a, à ce jour, toujours pas commenté ces allégations.

Avérée, cette cyberattaque pourrait être la première de l’histoire à avoir provoqué une panne de courant.

Source Engadget et Reuters - Traduction Elodie pour journal du geek

Le scénario est ici nettement moins rassurant, et vous commencer certainement à vous poser des questions sur la pseudo sécurité prétendue fiable de ces installations. Ce nouvel exemple est il l'exception qui confirme la règle, ou pouvons nous en trouver d'autres dans le passé ? La réponse est oui, et vous allez voir que les techniques utilisées peuvent être assez imaginatives.

L'évènement se situe aux Etats-Unis en mars 2007, et a été relayé par Pierre Barthélémy sur slate.fr.

Le jour où des hackers pirateront le réseau électrique

La scène se passe en mars 2007 dans l’état américain de l’Idaho. Un hacker malintentionné se fraie un chemin dans le réseau relié à un générateur électrique de taille moyenne qui produit du courant alternatif. Le principe de la machine est simple : plusieurs dizaines de fois par seconde (60 aux États-Unis, 50 en France), le flux d’électrons va dans un sens puis dans un autre (d’où le nom d’alternateur). L’alternateur doit être parfaitement synchronisé avec le réseau électrique.

En envoyant une rafale de commandes de coupures et de reprises aux disjoncteurs de la machine, le hacker la désynchronise. Le courant produit ne va plus dans la même direction que celui du réseau et cela revient un peu à passer la marche arrière alors que vous roulez sur l’autoroute. Ce qui suit, la bataille perdue de l’alternateur contre le réseau, a été filmé par une caméra. On y voit le générateur de plusieurs tonnes agité de soubresauts. Des morceaux de pièces tombent sur le sol. Puis de la vapeur et des fumées noires s’en échappent. Hors service. La scène a été filmée. La vidéo, d’abord tenue secrète, a été ensuite déclassifiée. La voici :


En réalité, le hacker en question n’était autre qu’un chercheur travaillant dans le cadre, contrôlé, d’un exercice de sécurité, le projet Aurora, réalisé au Idaho National Laboratory. On peut dire que le test a été concluant. On a l’habitude de voir les hackers s’en prendre à des systèmes virtuels. L’actualité nous le rappelle tous les jours : le 12 juin, c’est le site Internet de la police espagnole qui a été pris pour cible, juste après que le FMI eut concédé avoir été victime d’une cyberattaque.


1466510345_56853653275d0.jpgComme l’explique, dans un article paru dans le numéro du Scientific American publié ce mardi 14 juin, David Nicol, directeur de l’Information Trust Institute à l’université de l’Illinois où il enseigne aussi, les systèmes physiques sont désormais à la portée des pirates de l’informatique, car tous sont commandés à distance par informatique.

Après le projet Aurora, le meilleur exemple en a été donné par le ver informatique Stuxnet qui, en 2009-2010, a visé le programme nucléaire iranien. Selon un rapport publié en décembre 2010 par l’Institute for Science and International Security, l’Iran a dû remplacer un millier de centrifugeuses servant à enrichir de l’uranium car Stuxnet les aurait détruites en leur commandant subrepticement de tourner trop vite…

Dans son article, David Nicol dresse la longue liste des faiblesses du système de production et d’approvisionnement en électricité et souligne combien est dépassée l’assurance que le système ne craint rien parce qu’il n’est pas connecté à Internet. De multiples points d’entrée sur le réseau électrique existent et, comme Stuxnet l’a montré, il suffit de brancher une clé USB infectée à un ordinateur pour qu’un logiciel malveillant très bien élaboré aille silencieusement chercher les failles du système tout en lui faisant croire que tout est sous contrôle. Le projet Aurora s’est glissé dans la brèche au niveau de l’alternateur mais on peut aussi s’attaquer aux postes de transformation, aux postes de distribution ou aux stations de contrôle.

De quoi reproduire le film d’action Die Hard 4 – Retour en enfer… David Nicol raconte ainsi un autre exercice de simulation réalisé en 2010, au cours duquel la cible était constituée de postes de transformation qui, comme le dit de manière très pédagogique EDF sur son site Internet, « sont des lieux fermés et commandés à distance à partir de postes principaux, appelés Pupitres de Commandes Groupées »… sauf quand quelqu’un d’autre prend les commandes. L’exercice fut une « réussite » en ce sens que tout un état de l’Ouest américain fut virtuellement privé d’électricité pour plusieurs semaines. Bruce Willis n’est pas toujours là…

A travers l’exemple du réseau électrique, c’est la fragilité de tout réseau informatique (qu’il soit ouvert ou fermé) qui est mise en lumière. Leon Panetta ne s’y est d’ailleurs pas trompé. Celui qui est actuellement directeur de la CIA et remplacera prochainement Robert Gates au poste de secrétaire de la défense vient de déclarer devant une commission sénatoriale que

le prochain Pearl Harbour auquel nous seront confrontés pourrait très bien être une cyberattaque

visant les réseaux de sécurité, financiers ou électriques. Jusqu’ici réservée aux scénarios de films-catastrophes ou de science-fiction, la prise de contrôle à distance d’une centrale nucléaire par un groupe terroriste s’approche lentement mais sûrement du domaine du possible. Pour avoir un Fukushima, plus besoin d’un tsunami, une clé USB pourrait suffire.

La sécurité des commandes de missiles nucléaires compromise ?

1466511049_missille-nucleaire.jpgMais il y a plus effrayant encore. Un article de recherche publié par feu la Commission internationale sur la non-prolifération et le désarmement nucléaires s’est intéressé à la possibilité de pirater les systèmes de commandes nucléaires. L’auteur, Jason Fritz, reconnaît que les sécurités mises en place sont énormes, redondantes, extrêmement robustes, mais il n’en ajoute pas moins qu’une menace subsiste toujours :


Une cyberattaque réussie nécessite de ne trouver qu’une seule faiblesse tandis qu’une cyberdéfense réussie nécessite de trouver toutes les faiblesses possibles. Alors que des individus plus jeunes et plus doués en informatique sont recrutés parmi les rangs des terroristes, ils pourraient commencer à reconnaître le potentiel de ce type d’attaque.

En clair, au lieu d’essayer de fabriquer une bombe ou d’en acheter une, pourquoi ne pas pousser un État nucléaire à en envoyer une ? Il serait évidemment impossible de pirater les codes d’attaque de Barack Obama. Mais, écrit Jason Fritz,

malgré les affirmations selon lesquelles les ordres de tir nucléaire ne peuvent venir que des plus hautes autorités, de nombreux exemples montrent la possibilité de contourner la chaîne de commandement et d’insérer ces ordres à des niveaux plus bas. Des cyberterroristes pourraient aussi provoquer un tir nucléaire en imitant les systèmes d’alarme et d’identification ou en endommageant les réseaux de communication.

Source Pierre Barthélémy - slate

Êtes-vous toujours serein à ce stade de la lecture ? D'autant plus que lors des récents attentats en France et en Belgique, nous avions appris que le premier objectif des attentats étaient les centrales nucléaires ! Nous venons de voir que le risque est avéré et que son ampleur va au delà de nos craintes, mais qu'en pensent nos amis du secteur bancaire, eux qui ne voient que l'aspect financier de toute chose ? Selon une évaluation parue en 2015 sur le site Les echos

Le coût d'un blackout, causé par une cyberattaque, serait compris entre 243 milliards et 1.000 milliards de dollars. La charge pourrait atteindre 71 milliards pour les seuls assureurs, selon un rapport du Lloyd's.

Cyberattaque : un risque à 1.000 milliards de dollars pour les États-Unis

1466511719_021195397297_web.jpg Quelles seraient les conséquences d'une cyberattaque de grande ampleur ? Pour répondre à une telle question, le marché londonien Lloyd's, spécialisé dans les grands risques, et l'université de Cambridge ont imaginé un scénario catastrophe où des hackers s'en prennent au réseau électrique américain. Résultat, les pertes liées à une gigantesque panne de courant aux États-Unis pourraient atteindre 1.000 milliards de dollars. Ce serait sans compter une hausse subite de la mortalité.

Dans le scénario, la panne d'électricité touche quinze États américains, dont la ville de New York et de Washington, plongeant ainsi dans le noir 93 millions d'Américains. La panne a aussi pour conséquence la fermeture en série d'usines et l'arrêt de toute activité commerciale, contribuant à l'économie américaine à hauteur de 32%. La distribution d'eau devient difficile, car les pompes ne fonctionnent plus. Même les téléphones, internet, la télévision, la radio et l'éclairage public sont en panne... Seules quelques entreprises et hôpitaux ayant des systèmes de secours restent opérationnels.

Humainement, le blackout provoque une hausse de la mortalité, non seulement en raison des défaillances du système de santé, mais aussi en raison d'une hausse des accidents. Sans oublier qu'en période de grandes chaleurs, une panne d'électricité peut augmenter la mortalité des personnes âgées (NDV : à contrario, en période de grand froid, la mortalité générale serait bien plus élevée pour les foyers non équipés de cheminées). Quant à l'impact économique, il est estimé à 243 milliards de dollars, jusqu'à 1.000 milliards dans le pire des cas. Le rapport met au jour aussi les pertes potentielles pour les assureurs qui, au total, seraient comprises entre 21 et 71 milliards de dollars.

Ce scénario est-il réaliste ?

L'attaque imaginée se déroule en plusieurs étapes. Dans un premier temps, les hackers passent plusieurs mois à effectuer des recherches sur le marché de l'électricité américain, des systèmes de contrôle et des réseaux. Ensuite, ils introduisent un « malware » dans le réseau électrique. Une fois installé, celui-ci hiberne pour ne pas attirer l'attention et récolter des données. Durant la troisième phase, les pirates activent le virus, 50 générateurs tombent en panne, et c'est la réaction en chaîne.

On se souvient qu'une panne de courant réelle avait frappé les Etats-Unis en 2003, mais elle était de moindre ampleur et n'avait pas été causée par un virus informatique. Le rapport juge donc le scénario catastrophe d'une cyberattaque « improbable, mais technologiquement possible ». Il souligne tout de même que depuis 2000, on comptabilise 15 cyberattaques présumées visant le réseau électrique américain

Source les echos

Maintenant que la réalité des risques a probablement retenu votre attention, une autre question s'impose, à savoir quelles sont les conséquences d'un blackout ? Si vous avez déjà vécu une situation ou vous étiez privés d'électricité, celle-ci n'a probablement pas duré plus de quelques heures dans le pire des cas, au mieux quelques minutes (sauf si vous avez vécu une situation de sinistre, auquel cas vous savez déjà de quoi il retourne). Mais que se passerait-il dans le cas ou la situation serait de plus grande ampleur et nécessitait plusieurs jours ou semaines ?

Pierre Templar y répond sur son excellent blog survivaliste dans un article intitulé « Le jour où EDF sera aux abonnés absents », mais sachez d'ores et déjà que la quasi totalité de votre quotidien est dépendante du réseau électrique, à plus forte raison si vous ne vivez pas en milieu rural. Prendre conscience de cette dépendance et des risques qui y sont liés est un premier pas...

Le Veilleur




Commentaires 5

avatar de PH7
  • Par PH7 1 0
  • D'où la nécessité de pouvoir se fabriquer des générateurs autonomes ne fonctionnant ni avec un carburant ni dépendant d'autres sources. (Donc être indépendant des réseaux). Et apprendre à réduire nos besoins en énergie électrique, ce qui ferait faire un peu de sport à certains. Dans le temps, on avait un moteur pour alimenter une ligne de machines par courroies et transmission mécanique, aujourd'hui on a dix moteurs indépendants pour une machine ! Cherchez l'erreur et la cause de notre super-dépendance à l'énergie électrique.

avatar de Le-veilleur
  • Le-veilleur a répondu (Admin) 0 0
  • Autre débilité : Ceux qui te racontent qu'ils s’accommoderaient d'un vie « à l'ancienne » avec des bougies, mais qui ne sauraient comment ou avec quoi en fabriquer, ni même savoir faire du feu

avatar de PH7
  • Par PH7 0 0
  • A la fois d'accord avec toi et pas d'accord. Revenir à la bougie ou la lampe à huile serait idiot puisque nous connaissons et avons les technologies pour réaliser des générateurs autonomes. Mais rien n'empêche un léger retour en arrière en réduisant le nombre de récepteurs électriques pour les remplacer par des transmissions mécaniques. Mais cela implique le retour à une grande qualité des matériaux et la possibilité de réparer. Inutile de passer d'un extrême à l'autre.

avatar de Le-veilleur
  • Le-veilleur a répondu (Admin) 0 0
  • Tu oublies qu'en cas de blackout, il faudra faire avec ce que tu trouves, plus aucune machine ne fabriquera quoique ce soit. Connaitre les technologies est une chose, avoir les outils pour le mettre en pratique est autre chose. Certains n'hésiteront pas à tuer pour récupérer un panneau solaire, une batterie ou une bouteille de gaz... Posséder certaines choses feront des envieux, pour survivre il faudra savoir rester discret, ou faire partie d'une communauté (armée).

avatar de PH7
  • Par PH7 0 0
  • Pourquoi crois-tu que je sois entraîné à reproduire des technologies anciennes, que j'ai appris à fabriquer du charbon mais aussi des fours ou des appareils de cuissons, mais aussi des armes de jets ou appris à reconnaître les bonnes herbes que ce soit pour se soigner, se vêtir ou simplement manger ? J'ai reçu une très bonne formation à ce niveau là ! Mais je ne rejette pas en bloc les technologies modernes et je peux aussi fabriquer des générateurs autonomes. Mais là où tu as raison, c'est que tu ne peux pas rester seul dans ces cas là et seule une communauté peut assurer la sécurité de chacun. Ton raisonnement concernant les machines qui ne fabriqueront plus rien du tout n'est valable que pour les machines qui ne travaillent qu'avec l'énergie électrique, après tout, les hommes ont progressés pendant des siècles sans avoir recours au pétrole ou à l'électricité.

Ajouter un commentaire


Autres articles dans la catégorie « Evènements sociaux Attentats »