Le coordinateur de l’UE pour la lutte contre le terrorisme redoute une cyberattaque contre une centrale nucléaire

Il y a quelques jours, la justice américaine a annoncé la mise en examen de 7 ressortissants iraniens qui, liés aux Gardiens de la Révolution, auraient mené des attaques informatiques contre des banques et visé un barrage situé à une trentaine de kilomètres de New York.

« Un des inculpés doit répondre de l’accusation d’avoir obtenu accès, de façon illégale, au système de contrôle et d’acquisition de données du barrage Bowman Avenue, à Rye, New York », a ainsi expliqué, le 24 mars, Loretta Lynch, la secrétaire américaine à la Justice, lors d’une conférence de presse. « Cet accès aurait permis à l’inculpé de contrôler les niveaux d’eau et le flux hydraulique, faisant courir un danger clair et immédiat à la population », a-t-elle ajouté.

Cette information donne du crédit aux craintes exprimées par Gilles de Kerchove, le coordinateur de l’Union européenne pour la lutte contre le terrorisme.

« Je ne crois pas que le cyberterrorisme soit déjà une réalité. Mais je ne serais pas étonné qu’avant 5 ans, il y ait des tentatives d’utiliser Internet pour commettre des attentats. C’est-à-dire entrer dans le Scada (Supervisory Control and Data Acquisition), le centre de gestion d’une centrale nucléaire, d’un barrage, d’un centre de contrôle aérien ou l’aiguillage des chemins de fer », a-t-il en effet affirmé dans les colonnes de la Libre Belgique.

Compromettre le système de contrôle et d’acquisition de données  d’un site industriel a déjà été fait, notamment par le virus Stuxnet, lequel s’était attaqué au programme nucléaire iranien. Mais il avait été développé dans le cadre de l’opération américaine « Olympic Games« .

Même chose pour la cyberattaque « Dragonfly« , ciblant les réseaux de distribution d’électricité et découverte par les équipes de Symantec en 2014. La complexité de cette opération laissait alors penser qu’un État en était à l’origine.

En clair, arriver à pénétrer des systèmes de contrôle industriels n’est pas à la portée du premier venu, même s’il est calé en programmation informatique. Cela étant, pour M. de Kerchove, « Daesh a montré une énorme sophisticaton dans l’utilisation des réseaux sociaux » et « il y a des jeunes ‘geek’ qui savent ce que c’est une génération née avec Internet ». Et d’ajouter : « À un moment donné, il y aura bien un gars avec un doctorat en technologie de l’information qui sera capable d’entrer dans un système ».

Sans doute. Mais bien utiliser les réseaux sociaux est une chose et avoir les compétences techniques pour développer un ver informatique destiné à pénétrer le réseau d’un site industriel en est une autre. Un bon joueur de jeux vidéos ne fait pas forcément un programmeur de premier ordre.

Cependant, il est aussi vrai que le risque zéro n’existe pas… même si, pour le moment, et comme l’a récemment expliqué Guillaume Poupard, le directeur de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), les groupes terroristes « n’ont pas encore de capacités propres » pour mener des attaques informatiques complexes.

« Mais cela peut aller vite », a-t-il toutefois assuré, car ils peuvent « acheter en revanche cette capacité auprès de mercenaires informatiques intégrés à des groupes de plus en plus structurés, puissants, compétents techniquement, riches et protégés par des Etats ».

Aussi, le rapport relatif à l’emploi des forces armées sur le territoire national, remis et discuté au Parlement la semaine dernière, insiste sur les « cyber menaces », en soulignant qu’elles sont en « hausse permanente, à lesure que les adversaires déclarés et potentiels de la France s’équipent et s’organisent pour mener des actions contre les systèmes d’informations stratégiques. »