Quand le réseau devient intelligent, la menace devient encore plus intelligente

Bonjour les cyber-constructeurs 🖖

Ceci est le troisième et dernier article de ma série sur la cybersécurité et les réseaux électriques. Aujourd’hui, je souhaite explorer l’une des menaces les plus sous-estimées : l’émergence de nouveaux réseaux hyperconnectés et la manière dont cela crée des opportunités d’attaques via des appareils auxquelles vous ne vous attendriez jamais.

Les deux premiers articles expliquaient les bases : les réseaux électriques sont des systèmes complexes avec de nombreuses parties prenantes. Il y a les grands acteurs (opérateurs étatiques, producteurs d’énergie, sociétés de services publics) et ensuite tous les autres : fournisseurs, consommateurs et prosommateurs locaux. Ces groupes diffèrent par leur taille et leur maturité en matière de cybersécurité.

Ajoutons maintenant les énergies renouvelables au mélange. Voilà le problème : il ne s'agit pas vraiment de savoir si l'énergie vient du soleil, du vent ou d'une centrale à charbon. Il s'agit de savoir qui gère les appareils et dans quelle mesure ils ont été construits par le fabricant en termes de cybersécurité.

Parce que connecter des milliers d’appareils intelligents bon marché et mal protégés à votre réseau électrique améliore votre surface d’attaque.

Depuis 2010, les experts préviennent que Les réseaux électriques sont très vulnérables. aux cybermenaces. Les entreprises énergétiques s'appuient historiquement sur SCADA/ICS (Supervisory Control and Data Acquisition/Industrial Control Systems) pour gérer les systèmes de production et de distribution. conçu pour la fiabilité et la sécurité, pas pour la sécurité. Par conséquent, de nombreux composants de contrôle réseau ont une authentification faible, des protocoles obsolètes et une exposition à Internet.

Les chercheurs en cybersécurité ont tiré la sonnette d’alarme à plusieurs reprises: Les réseaux électriques et les infrastructures énergétiques sont devenus « des objectifs très attractifs » pour les pirates informatiques criminels et parrainés par l’État.

Voir mes deux derniers articles sur la série ici :

Paralysé : pourquoi les États-nations piratent le pouvoir qui gouverne le monde

Quand les lumières s'éteignent : mon histoire depuis la panne d'électricité espagnole

Un avertissement précoce notable est venu de la communauté des hackers lors du 31e Chaos Communication Congress (31C3) à 2014. Dans une conférence intitulée “SCADA StrangeLove : un réseau trop intelligent dans le cloud” Les chercheurs Sergey Gordeychik et Aleksandr Timorin ont révélé que le plus récent « réseaux intelligents » et systèmes d’énergies renouvelables (éoliennes, centrales solaires photovoltaïques) Ils étaient souvent connectés directement à Internet et truffés de vulnérabilités connues.

Ils ont démontré comment les plateformes logicielles qui surveillent et contrôlent Grands parcs éoliens et panneaux solaires domestiques. contenu « 0 jours de profil bas » (exploits jusqu’alors inconnus) et failles de sécurité connues.

Même en 2014, il était (ou aurait dû être) de notoriété publique que Les composants essentiels de l’infrastructure d’énergie verte étaient piratables..

Les chercheurs ont noté avec humour (et pertinence) que de nombreux développeurs industriels se précipitaient pour placer les contrôleurs de réseaux intelligents « dans le cloud » sans durcissement de base. “Cela ne laisse aucune possibilité de sécurité.”

La présentation de Gordeychik et Timorin, partie du SCADA ÉtrangeAmour projet, a lié les vulnérabilités informatiques à la sécurité des réseaux du monde réel. Ils ont averti qu'un attaquant qui obtiendrait un accès root au système de contrôle d'une usine renouvelable en quelques minutes pourrait annuler des années d’efforts d’ingénierie vers des opérations réseau sécurisées.

Dans un exemple, ils ont montré comment compromettre le contrôleur d'une éolienne pourrait désactiver les limites de sécurité, causant potentiellement des dommages physiques ou déstabilisant le réseau local. Cette recherche et d'autres similaires préfigurent les préoccupations d'aujourd'hui : un cyber-intrus dans un réseau de contrôle de parc solaire ou éolien pourrait rapidement contourner les paramètres de protection, déconnecter la production critique ou falsifier les données, le tout avec effets en cascade sur le plus grand réseau électrique.

Je vous laisse regarder la vidéo (rappelez-vous qu'elle date de 10 ans !)

🔗Liens :

• 31C3 – SCADA StrangeLove : Un réseau trop intelligent dans le Cloud (ici)

• DEFCON 20 – SCADA Strangelove ou : Comment j'ai appris à prendre soin et à aimer les centrales nucléaires (ici)

En conséquence, les autorités américaines et européennes ont commencé à émettre des alertes urgentes. Un rapport du FBI de 2024 avertissait que le déploiement rapide de technologies d’énergies renouvelables telles que les fermes solaires, les micro-réseaux et les onduleurs intelligents ouvre de nouvelles failles en matière de cybersécurité que les acteurs malveillants peuvent exploiter (voir ici).

De même, le Forum économique mondial Perspectives mondiales de la cybersécurité 2025 Il a averti que dans notre précipitation à mettre en œuvre des solutions énergétiques vertes, « Il existe un risque d’introduire des vulnérabilités qui pourraient nuire à la fiabilité de cette nouvelle infrastructure énergétique » si la sécurité n'est pas intégrée dès le premier jour.

Puis est arrivée la récente panne d'électricité dans la péninsule ibérique, largement couverte par des médias tels que le gardien— heureusement, une panne réseau massive manque d'indicateurs clairs de cyberattaques. Pourtant, cela a servi de sonnette d’alarme. Les experts et les régulateurs ont noté que même si la cause aurait pu être accidentelle, l’incident reflétait étrangement des scénarios contre lesquels les chercheurs en matière de cybermenaces nous mettaient en garde depuis des années.

Ces avancées soulignent une dure réalité : alors que nous adoptons des systèmes énergétiques interconnectés alimentés par l’IoT, nous devons considérer la cybersécurité non pas comme une réflexion après coup, mais comme le fondement du réseau électrique moderne.

Enfin, comme nous l'avons évoqué dans le deuxième article, les acteurs étatiques investissent depuis des années dans le piratage des équipements des réseaux électriques et des systèmes de contrôle des énergies renouvelables afin de prendre le contrôle des réseaux électriques d'autres États.

Matt Johanson a fait une plongée approfondie dans le panneau solaire « portes dérobées » sur un compte Twitter.

Techniquement parlant, la menace IoT n’est pas seulement une variante des risques informatiques traditionnels : c’est un jeu complètement différent.

Dans un environnement informatique typique, il s’agit d’un système complexe et personnalisé. Vous disposez d’ordinateurs portables, de serveurs, de réseaux et d’infrastructures cloud, tous liés de manière unique dans chaque organisation. La configuration informatique d’une banque mondiale n’aura rien à voir avec celle d’une usine de fabrication.

Même deux banques ne peuvent pas correspondre : elles ont des architectures, des piles de logiciels et des versions des mêmes outils différentes. Bien sûr, il existe certains éléments de base standards (Active Directory, routeurs Cisco, peut-être certains fournisseurs de cloud partagé), mais l'ensemble des systèmes est façonné par des années de décisions, de budgets et de limites.

Pour un attaquant, Chaque nouvel objectif s’accompagne d’une courbe d’apprentissage.. Vous ne pouvez pas simplement copier et coller dans chaque entreprise. Il faut étudier le terrain, éviter de déclencher des alarmes SOC et s'adapter constamment.

Comparons maintenant cela au monde de l'IoT. Ici, c'est presque le contraire. De nombreux appareils sont connectés directement à Internet sans pare-feu, segmentation ou avertissement. Qu'il s'agisse d'un appareil domestique intelligent ou d'un onduleur, une fois branché, il appelle la maison : envoi de données vers le cloud, téléchargement de mises à jour et envoi de télémétrie.

Et contrairement aux systèmes informatiques personnalisés pour chaque entreprise, les implémentations IoT sont clonées. Chaque compteur intelligent d'un modèle particulier possède le même micrologiciel et chaque onduleur solaire de ce fabricant possède les mêmes paramètres.

C'est là que la menace augmente. Parce que si vous êtes un attaquant et que vous souhaitez pirater l'un de ces appareils (par exemple, un panneau solaire utilisé dans votre région cible), vous n'avez pas besoin de deviner. Vous en achetez un. Envoyez-le à votre laboratoire. Cassez-le. Passez des jours, des semaines, des mois si nécessaire.sans précipitation, sans surveillance SOC.

Recherchez les informations d'identification cryptées. Attribuez le micrologiciel. Exploitez les bibliothèques obsolètes. Et une fois que vous aurez un exploit fonctionnel, vous n’aurez plus seulement accès à un seul appareil : vous en aurez débloqué des milliers.

Dans l’IoT, le retour sur investissement pour les attaquants est énorme. Trouvez une fissure et vous pourrez casser tout le système.

Nous savons depuis plus d’une décennie que nos réseaux électriques sont vulnérables. Nous avons eu des avertissements, des enquêtes et des preuves de concept, et nous verrons désormais des événements du monde réel qui reflètent ces scénarios.

Cependant, de nombreux décideurs considèrent la cybersécurité comme une mise à niveau facultative plutôt que comme une exigence fondamentale.

Chaque appareil connecté à Internet bon marché et non sécurisé que vous ajoutez au réseau ? C'est une autre porte ouverte. Un autre désastre potentiel attend de se produire.

Alors ne vous contentez pas de lire ceci et d’acquiescer.

🔒 Si vous êtes un développeur, appliquez des valeurs par défaut sûres. Investissez dans la conception sécurisée de votre logiciel réseau et de vos appareils connectés à l’IoT.

🛡️ Si vous êtes un homme utilitaire, construisez une défense en profondeur, pas des excuses. Gérer la sécurité, la fiabilité et la cybersécurité.

Parce que la prochaine panne de courant n’est peut-être pas un accident et qu’il sera alors trop tard pour se demander qui était censé s’en soucier.

Laurent 💚