On savait déjà que des attaquants s’étaient attaqués au logiciel de contrôle du moulin d’un particulier. Ils pensaient prendre le contrôle de la centrale hydroélectrique de Courlon-sur-Yonne (Yonne). Trois mois plus tard, le même groupe a revendiqué le piratage d’une usine de traitement des eaux en Italie, à Dittaino. C’est ce que signale un rapport récent de 21 pages de l’Anssi sur la sécurité informatique du secteur de l’eau.
Il s’agissait, affirmaient alors les attaquants, de se préparer à perturber la cérémonie d’ouverture et certaines épreuves des Jeux olympiques de Paris. Mais “aucune attaque revendiquée par ce groupe n’a été relevée sur des infrastructures de l’eau en France durant la période de l’évènement”, précise l’Anssi.
Deux exemples qui montrent que le secteur de l’eau peut être ciblé spécifiquement par des pirates informatiques en raison du contexte géopolitique. Ainsi, selon le cyber-pompier de l’Etat, cette année, “des groupes hacktivistes pro-russes ont ciblé ou menacé des infrastructures du secteur dans un objectif de médiatisation et de fragilisation des pouvoirs publics”.
Hacktivistes
La preuve? Les 16 signalements d’incidents comptés en 2024 ont eu lieu “majoritairement entre mai et juillet”. Soit juste avant ou pendant les Jeux olympiques. Ils “étaient liés à des menaces ou des revendications de DDoS par des groupes hacktivistes”, note l’Anssi.
Au global, l’Anssi a compté 46 entités touchées par un événement de sécurité entre janvier 2021 et août 2024. Douze d’entre elles étaient des opérateurs régulés. Tandis que sept ont fait “l’objet de multiples événements de sécurité”. En clair, elles ont été des cibles récurrentes.
Sur les 31 compromissions recensées, l’Anssi a enfin compté 12 incidents en 2023 par des acteurs aux motivations lucratives. “Au-delà des campagnes de déstabilisation, la menace cybercriminelle, qui poursuit des objectifs lucratifs, reste la menace la plus importante”, précise d’ailleurs le cyber-pompier de l’Etat. Ce genre de cible est particulièrement intéressante pour des pirates au vu de l’éparpillement des installations. Et des faiblesses, en général, du budget alloué à la sécurité informatique.
Rançongiciels
“Les nombreuses compromissions d’interfaces homme-machine exposées sur Internet, parfois sans authentification, illustrent le manque de prise en compte de la sécurité informatique en particulier par les acteurs de petite taille”, déplore par exemple l’Anssi. Et de pointer en outre les mutations de l’industrie. Elles ont engendré des systèmes d’information “insuffisamment sécurisés augmentant ainsi la surface d’attaque”.
Résultat: l’Anssi a compté huit déploiements d’un rançongiciel sur 28 compromissions signalées. Le piratage du service public de l’assainissement francilien à l’automne dernier n’est pas spécifiquement cité dans le rapport. L’attaque, aux modalités non précisées, s’est soldée au printemps dernier par la présentation d’une facture de 2,35 millions d’euros.
Si les campagnes d’espionnage visant le secteur de l’eau sont “peu fréquentes”, les entreprises françaises sont invitées à la vigilance. Elles peuvent “être ciblées en raison de leur implantation dans une zone de conflit entre deux pays”. Et ainsi “devenir des vecteurs d’entrée pour des actions de surveillance ou de déstabilisation”.
Crédit photo: Amritanshu Sikdar sur Unsplash.