Cyberattaque contre une aciérie allemande

Dans son rapport annuel publié le 17 décembre 2014, l'Office fédéral allemand de la sécurité de l'information (BSI) a révélé une cyberattaque contre une aciérie non nommée ayant causé d'importants dommages physiques à un haut-fourneau — seulement le deuxième cas publiquement documenté, après Stuxnet, d'une cyberattaque produisant une destruction réelle d'équipements industriels.

Ce qui s'est passé

Les attaquants ont commencé par du harponnage ciblé et de l'ingénierie sociale visant le personnel, s'implantant dans le réseau bureautique de l'usine. De là, ils sont passés au réseau de production — l'environnement de technologie opérationnelle (OT) qui commande les machines physiques.

Une fois dans les systèmes de contrôle, les intrus ont manipulé et perturbé des composants de contrôle industriel. La conséquence fut grave : un haut-fourneau n'a pas pu être arrêté de la manière normale et contrôlée et est resté dans un « état indéfini ». L'arrêt incorrect a causé des dommages massifs à l'ensemble du système.

Impact

• Un haut-fourneau — parmi les équipements les plus dangereux et coûteux de l'industrie lourde — a subi des dommages physiques substantiels.
• Aucune blessure parmi les employés ou le public n'a été signalée.
• Le BSI n'a ni nommé la victime, ni chiffré les pertes financières, ni attribué l'attaque, mais a décrit les attaquants comme possédant une connaissance avancée à la fois de la sécurité informatique conventionnelle et des systèmes de contrôle industriel spécifiques utilisés — une combinaison désignant un acteur sophistiqué et bien doté.

Pourquoi c'est important

L'attaque de l'aciérie allemande est une référence en matière de sécurité cyber-physique. Là où la plupart des violations volent des données, celle-ci a détruit un actif physique, prouvant que le pivot IT vers OT — d'un courriel de phishing au bureau à un haut-fourneau dans l'usine — n'est pas théorique. Elle a démontré que la séparation que de nombreux exploitants supposaient protéger leurs réseaux de production était en réalité franchie via une compromission ordinaire du réseau d'entreprise.

L'incident est devenu fondateur de la doctrine de sécurité ICS/OT, cité dans le NIST, l'IEC 62443 et les programmes nationaux d'infrastructures critiques comme preuve que la segmentation réseau, la surveillance OT et les défenses résistantes au phishing sont essentielles là où les défaillances cyber peuvent se traduire en dommages cinétiques et en risques pour la sécurité physique. La loi allemande sur la sécurité informatique (IT-Sicherheitsgesetz, 2015) et les règles KRITIS sur les infrastructures critiques se sont inspirées précisément de cette catégorie de menace.