La cyberattaque énergétique devient une nouvelle arme de pression partout dans le monde. Les difficultés de traçage des hackers et la souveraineté des États rend difficile l’évolution du droit en la matière. Une solution ? Réduire les intrants matériels et immatériels étrangers dans les organisations de cybersécurité nationales.
La cyberattaque énergétique sur Mumbai commanditée par la Chine ?
Cyberattaque énergétique, octobre 2020, une panne d’électricité paralyse la ville de Mumbai et ses 20 millions d’habitants. Les hôpitaux, saturés par la pandémie de Covid-19, doivent passer d’urgence les ventilateurs des patients sur des générateurs. Cette situation fait étonnement suite aux combats à la frontière sino-indienne ravivant les velléités territoriales qui opposent les deux pays depuis des décennies.
Une nouvelle étude de Recorded Future vient faire le lien entre ces deux événements. Elle affirme que la panne de Mumbai aurait été causé par une cyberattaque énergétique menée par une société chinoise de hacking nommé Red Echo. Cette dernière serait parrainée par les autorités chinoises.
Des malwares infiltrent le réseau pendant les combats
Selon le rapport, des malwares auraient afflué vers le réseau électrique indien alors que les combats faisait rage aux frontières. Ces malwares ont infiltré les systèmes de contrôle de l’approvisionnement électrique de l’Inde. Mais aussi une sous-station de transmission à haute tension ainsi qu’une centrale électrique au charbon.
L’étude reste prudente et précise que le lien entre la panne et la découverte du malware « restait sans fondement ». Mais pour le Général Hooda, spécialiste indien de la cybersécurité :
« C’est l’avertissement envoyé à l’Inde que cette capacité existe en Chine. »
Démenti des autorités indiennes
Mais le ministère indien de l’Énergie a nié le lien entre la tentative de piratage contre le système de réseau et la panne de Mumbai. Il a déclaré qu’une action rapide avait été prise lorsque les services de protection du réseau avaient été informé de l’infiltration.
Or les autorités n’ont pas dit si elles avaient pu neutraliser le code malveillant à l’origine de la cyberattaque énergétique. Certains experts pensent même que le malware serait encore dans le réseau, les autorités préférant taire leurs difficultés. En effet, reconnaître l’inverse affaiblirait le pays dans ses négociations avec la Chine sur les tensions frontalières.
Des cyberattaques énergétiques qui se multiplient
Le secteur de l’énergie est aujourd’hui très intégré au réseau internet ce qui le rend vulnérable aux cyberattaques. Les capteurs utilisés lors de la production et du transport, la digitalisation des marchés et les compteurs intelligents font que la menace est plurielle et diffuse.
L’énergie est ainsi devenue une cible de choix pour des attaques menés par des États. Les services secrets américains et israélien s’étaient déjà servis du virus Stuxnet en 2010 pour détruire près d’un millier de centrifugeuses iraniennes. En 2015, une cyberattaque attribuée à la Russie avait provoqué une importante coupure d’électricité dans l’ouest de l’Ukraine.
Des criminels sans frontières
Les cyberattaques énergétiques se démocratisent dans les milieux criminels. En 2017, des pirates prenaient le contrôle du système de sécurité d’un complexe pétrochimique du groupe Schneider Electric en Arabie Saoudite. Plus récemment, des hackers ont tenté de rançonner la Scottish Environment Protection Agency (SEPA). Le refus de la SEPA de céder au chantage a entraîné la divulgation d’informations sensibles et le report du projet éolien Rigghill.
Si les faits sont avérés, les révélations du rapport de Recorded Future seraient un exemple supplémentaire du risque croissant que les cyberattaques font peser sur le secteur énergétique. Elle montrerait que les hackers peuvent aujourd’hui affecter directement et dangereusement la vie des populations.
Comment répondre à cette menace ?
Les cyberattaques laissent souvent peu d’indices sur l’identité des personnes les commettants. Encore moins sur celle du commanditaire. Les hackers utilisent les VPN, les réseaux publics et des « false flags », c’est-à-dire des ordinateurs contrôlés à distance.
Il est donc difficile de prouver la responsabilité d’un État ou d’une entité sous son contrôle, comme le montre le rapport de Recorded Future. Pire encore, arrêter et poursuivre les hackers qui se trouvent sur le territoire d’autres États est souvent impossible du fait du principe de souveraineté.
Le droit international verrouille la capacité de riposte des États
Les États ne peuvent pas non plus avoir recours à la force pour contraindre un État à stopper les cyberattaques menées depuis son territoire. En effet, le règlement pacifique des différents est un principe du droit international. Ainsi donc, une réponse militaire ne serait légale que face à une cyberattaque causant les mêmes effets qu’une attaque armée, ce qui n’est encore jamais arrivé.
En règle générale, les États victimes ne peuvent donc qu’utiliser des mesures de rétorsion aux effets discutables. Celles-ci permettent de sanctionner l’État hôte des hackers pour être aller contre son devoir d’empêcher l’atteinte aux droits d’autres États depuis son territoire. Or leur impact dépend beaucoup de l’influence de l’État qui les impose.
Il se trouve aussi des cas où l’État hôte n’a tout simplement pas les capacités de contrôler son internet.
En somme, l’absence de consensus international bloque l’évolution du droit en matière de lutte contre la cybercriminalité. La veille sécuritaire et la résilience des réseaux restent donc actuellement les pistes privilégiées par les États pour lutter contre les cyberattaques.
Réaffirmer la souveraineté en matière de cybersécurité
La Commission européenne (CE) a présenté fin 2020 sa stratégie de lutte contre les cyberattaques. La CE entend renforcer les obligations des structures sensibles comme les réseaux d’énergie. Elle veut utiliser l’intelligence artificielle pour détecter les attaques à un stade précoce et créer un « bouclier de cybersécurité ».
En France, la loi de programmation militaire (LPM) de 2016 définit plus de 200 « opérateurs d’importance vitale » (OIV). Il s’agit d’entreprises « ayant des activités indispensables dont la défaillance mettrait en grave difficulté le fonctionnement et la survie de la Nation ». Un nombre important de société énergétique en font partie.
Les systèmes de sécurité de ces entreprises doivent suivre un cahier des charges strictes en matière de cybersécurité. Le but étant d’établir un standard commun de sécurité. Ils sont contrôlés par l’Agence nationale pour la sécurité des systèmes d’information (ANSSI).
Réduire la part des acteurs étrangers dans la cybersécurité nationale
À la suite de l’introduction du malware dans le réseau indien, les experts militaires du pays ont appelé leur gouvernement à remplacer le matériel chinois. Le gouvernement indien a déclaré qu’un examen était en cours sur les contrats de technologie de l’information de l’Inde. Mais le coût et la difficulté du démantèlement des infrastructures existantes empêchera à coût terme toute évolution significative.
« Le problème est que nous n’avons toujours pas été en mesure de nous débarrasser de notre dépendance vis-à-vis du matériel et des logiciels étrangers. », déclare le Général Hooda.
La réduction de la part des acteurs étrangers dans la cybersécurité est également au cœur la stratégie française qu’Emmanuel Macron dévoilera prochainement. Un milliard EUR€ devrait être dépensé pour tripler le chiffre d’affaires de la filière et doubler ses effectifs d’ici 2025. Un « Campus Cyber » de 20.000 m2 à La Défense réunissant les acteurs-clés du secteur est également en projet.
