Vulnérabilité des ICS canadiens aux cyberattaques
Les systèmes de contrôle industriel du Canada deviennent des cibles faciles pour les cybermenaces. Il s’agit d’une alerte de niveau national. Ces systèmes sont à la base de services essentiels tels que l’eau potable, la stabilité du flux énergétique et la production alimentaire. Contrairement aux plates-formes actuelles hautement interconnectées, les systèmes ICS n’ont jamais été conçus pour être exposés à l’internet public. Ils sont dépourvus de défenses modernes, ce qui est très préoccupant.
Ces systèmes, les automates programmables (PLC), les interfaces homme-machine (HMI) et les plateformes SCADA, ont été conçus pour optimiser les opérations, et non pour éviter les pirates informatiques. Ajoutez des mots de passe faibles, une mauvaise segmentation entre les opérations et les réseaux informatiques, et vous obtenez un plan d’intrusion. Exposer une infrastructure publique à l’internet sans améliorer la sécurité revient à laisser la porte d’entrée ouverte.
De nombreuses organisations ne savent même pas quels actifs ICS sont connectés à l’internet, et encore moins les sécuriser. La surface d’attaque augmente à chaque connexion. Le gouvernement canadien a confirmé que les acteurs de la menace profitent de cette lacune et que la plupart des incidents présentent des schémas d’accès évitables, des mots de passe par défaut, des ports exposés publiquement et des logiciels obsolètes.
Pour les cadres, il ne s’agit pas d’une question profondément technique. Il s’agit d’une question structurelle. Si votre entreprise dépend d’infrastructures critiques, sachez que ces risques sont réels. Investir dans la visibilité, savoir quels actifs sont en ligne, sécuriser l’accès et isoler les environnements n’est pas facultatif. Il s’agit d’un élément fondamental. Car une fois qu’un pirate est entré, votre marque, vos opérations et votre crédibilité sont en jeu.
Perturbations réelles dues à des attaques ciblées
Ces attaques ont déjà eu lieu. Au Canada, une installation municipale de distribution d’eau a été touchée. Des pirates informatiques y ont accédé et ont modifié la pression de l’eau par l’intermédiaire de systèmes de contrôle connectés à l’internet. Il ne s’agit pas d’un rapport d’incident. Il s’agit de la perte d’un service de base pour les habitants d’une communauté, ne serait-ce que pour une courte durée.
En voici une autre. Une grande entreprise pétrolière et gazière a vu son système de surveillance à distance des réservoirs trafiqué, ce qui a provoqué une cascade de fausses alarmes. Cela ne fait pas que perdre du temps. Elle épuise les ressources, retarde la réponse aux problèmes réels et érode la confiance dans les systèmes automatisés. Dans le même temps, une attaque distincte contre un silo agricole a modifié les niveaux de température et d’humidité internes, deux paramètres essentiels pour le stockage des céréales. Ce type d’altération pourrait compromettre des récoltes entières.
Il s’agit d’attaques peu complexes et à fort impact. Les systèmes n’étaient pas très bien protégés, et des acteurs malveillants ont exploité cette situation. Il ne s’agit pas ici de menaces persistantes avancées ou d’espionnage par un État-nation. Il s’agit de l’utilisation abusive de systèmes exposés qui n’auraient jamais dû être en ligne sans protection.
Pour les dirigeants, comprenez ceci : il ne s’agit pas seulement de dysfonctionnements techniques, mais d’événements de sabotage opérationnel. Et ils sont de plus en plus fréquents. Lorsque des systèmes industriels tombent en panne parce que quelqu’un a modifié une valeur à distance, cela ne nuit pas seulement aux opérations. Cela amène votre conseil d’administration à se poser des questions difficiles. Des questions auxquelles vous devez être prêt à répondre avant la perturbation, et non après.
L’impact de l’exposition directe à l’internet et d’une faible segmentation
S’il y a une chose qui continue à se manifester dans toutes les brèches ICS réussies, c’est l’exposition illimitée à l’internet. Les systèmes sont accessibles directement depuis le web, connectant les infrastructures critiques à un environnement qui n’a jamais été censé être fiable. Cela ne devrait pas se produire encore en 2024, mais c’est pourtant le cas.
Ces réseaux industriels manquent souvent de contrôles de base, il n’y a pas de segmentation entre IT et OT, pas d’authentification à deux facteurs et, dans de nombreux cas, ils utilisent encore des noms d’utilisateur et des mots de passe par défaut. Une fois que quelqu’un a obtenu l’accès, il peut commencer à interagir avec l’environnement en temps réel. Il peut notamment modifier les sorties des capteurs, forcer les alarmes de processus ou modifier les paramètres opérationnels. Et ils n’ont pas besoin de boîtes à outils avancées pour le faire.
Ce que cela nous apprend, c’est que de nombreux environnements n’ont pas fait de la sécurité un principe de conception fondamental. Ils fonctionnent encore sur des architectures optimisées pour la performance, et non pour la protection. La logique est dépassée. Et cela nous coûte de la stabilité.
En tant que dirigeant, prenez cette question au sérieux. La segmentation du réseau n’est pas seulement une configuration technique, c’est une barrière stratégique. Lorsque vous ne séparez pas vos environnements numériques opérationnels et d’entreprise, tout ordinateur portable de fournisseur compromis ou tout actif cloud exposé peut devenir un point d’entrée dans votre environnement de processus principal. Ce n’est pas un risque que la plupart des entreprises sont prêtes à assumer. Cela vaut la peine de repenser l’architecture.
Prédominance des groupes d’hacktivistes en tant qu’acteurs de la menace
Il ne s’agit pas d’attaques parrainées par un État et conçues pour espionner discrètement en vue d’un avantage économique à long terme. Ce que nous observons actuellement au Canada est le fait de groupes d’hacktivistes, des acteurs qui cherchent à perturber et à attirer l’attention. L’objectif n’est pas la discrétion. C’est la visibilité. Ils s’introduisent dans un système, manipulent une partie d’un processus de contrôle, puis propulsent l’événement dans le cycle médiatique. Il s’agit d’une question de narration et non d’une stratégie d’État-nation.
Il s’agit là d’un changement clé que les décideurs ne peuvent ignorer. Les motivations sont différentes, ce qui modifie complètement la posture de la menace. Ces groupes ne se soucient pas d’éviter d’être détectés au fil du temps. Leurs attaques sont bruyantes, rapides et programmées pour être rendues publiques. Elles sont donc plus difficiles à prévoir, mais plus faciles à contrarier si vous êtes préparé.
Il est important de noter que même si ces attaques sont plus courtes et plus chaotiques que les campagnes d’espionnage traditionnelles, elles n’en sont pas moins lourdes de conséquences. La plupart des systèmes ICS sont reliés à des réseaux d’infrastructure plus vastes, à l’échelle de l’entreprise ou de la région. Une petite intervention sur un nœud peut se répercuter sur l’ensemble des systèmes, entraînant des arrêts d’activité, des rapports réglementaires ou des perturbations opérationnelles plus importantes.
Pour les dirigeants, cela signifie qu’il faut recadrer la sécurité des SCI non seulement comme un risque technique, mais aussi comme une question de réputation et de continuité. Les attaques hacktivistes sont conçues pour être visibles. Si votre marque dépend d’un service ininterrompu, ces menaces ne sont pas hypothétiques. Elles visent déjà la visibilité, et votre organisation est une scène potentielle.
Pratiques essentielles de cybersécurité pour protéger les ICS
Restons simples : les principes fondamentaux solides fonctionnent toujours. Les organisations qui évitent les intrusions dommageables dans les SCI ne s’appuient pas sur des outils secrets. Elles appliquent des pratiques de base de manière cohérente dans tous les environnements. Il s’agit notamment de cartographier les actifs connectés à Internet, de couper les connexions inutiles, d’appliquer des politiques d’accès strictes et d’isoler les réseaux opérationnels de tout le reste.
Un modèle de confiance zéro n’est plus optionnel. Il s’agit de limiter l’accès, de vérifier chaque connexion et de rejeter les hypothèses de confiance par défaut pour les utilisateurs et les appareils. Cela s’applique également aux ingénieurs, aux SRE, aux fournisseurs et aux systèmes automatisés. L’accès à distance doit être contrôlé de bout en bout, à l’aide de VPN, l’authentification multifactorielle (MFA)et la liste blanche d’adresses IP. Tout ce qui n’est pas contrôlé invite à une exposition inutile.
La détection doit également évoluer. Déployez des outils modernes qui reconnaissent les comportements inhabituels sur les terminaux et le trafic réseau. Vous ne pouvez pas tout prévenir, mais vous pouvez détecter les signes précoces et réagir rapidement. Cela implique des systèmes de prévention des intrusions (IPS), des systèmes de détection et de réponse des terminaux (EDR) et des cadres d’alerte automatisés avec des taux de faux positifs faibles.
Et n’oubliez pas les choses les plus ennuyeuses : restez à jour en ce qui concerne les correctifs. Les systèmes doivent faire l’objet d’audits et de tests de sécurité réguliers. Les plans d’intervention en cas d’incident doivent être des exercices actifs, et non des documents de référence. Non pas parce que cela vous met en conformité, mais parce que cela limite le chaos lorsque quelque chose se brise de manière inattendue.
Depuis le sommet, les dirigeants doivent faire de cette question une priorité. La résilience commence au niveau du conseil d’administration. Si les cyberrisques qui pèsent sur l’infrastructure physique peuvent avoir un impact sur les opérations, les recettes ou la confiance du public, ils doivent faire l’objet de la même attention que la chaîne d’approvisionnement, les finances ou le service juridique. Des bases solides créent un environnement stable. Commencez par là et faites-le évoluer intentionnellement.
Les cybermenaces suscitent de plus en plus d’inquiétudes en matière de sécurité publique
La sécurité n’est plus seulement la responsabilité de l’informatique, c’est une question de sécurité publique. Lorsque quelqu’un s’attaque à des installations de traitement de l’eau, à des entrepôts de céréales ou à des systèmes de distribution d’électricité, les conséquences dépassent largement les frontières numériques. Des personnes sont touchées. Les économies sont perturbées. La confiance s’érode.
Lors de la dernière vague d’attaques canadiennes contre les SCI, les systèmes publics étaient visés. Pas les réseaux d’entreprise. Pas les bases de données de paiement. Il s’agissait d’infrastructures, de choses qui font vivre les villes et les régions. Ce changement est le signe d’un nouveau front en matière de risques de cybersécurité. Il s’agit de protéger les systèmes qui soutiennent la vie quotidienne.
Les motivations changent également. Les hacktivistes s’attaquent à des cibles qui font les gros titres, suscitent la peur et font passer des messages sociaux ou politiques. À mesure que les tensions géopolitiques augmentent et que les tactiques des activistes évoluent, les infrastructures exposées deviennent une plateforme attrayante pour ces attaques. La visibilité est la cible, et la perturbation généralisée est un outil.
Les dirigeants doivent en être conscients. Si votre organisation opère dans les secteurs de l’eau, de l’électricité, des transports, de l’énergie ou de l’agriculture, il ne s’agit pas de simples secteurs industriels. Il s’agit de couches de sécurité critiques pour la stabilité nationale. Votre posture de cybersécurité n’est donc pas seulement un profil de risque interne, elle joue un rôle dans un écosystème plus large et plus visible.
Prenez de l’avance. Les systèmes dont dépend votre entreprise doivent être clairement isolés. Vos équipes ont besoin d’une visibilité en temps réel sur les menaces. Et vos dirigeants doivent considérer la cybersécurité de l’infrastructure comme un élément essentiel de la stratégie de l’entreprise. La prochaine perturbation ne concernera pas seulement les temps d’arrêt, mais aussi les conséquences publiques. Soyez prêt avant que cela n’arrive.
Principaux enseignements pour les décideurs
- L’exposition des SCI est une vulnérabilité systémique : Les systèmes de contrôle industriel de l’ensemble de l’infrastructure canadienne sont exposés en ligne avec des informations d’identification faibles et peu de segmentation. Les dirigeants doivent encourager les investissements dans une architecture sécurisée et éliminer les composants inutiles qui font face à Internet.
- Les cyberattaques perturbent déjà les opérations physiques : Des incidents réels, tels que la manipulation de la pression de l’eau, les fausses alarmes dans le secteur du pétrole et du gaz et la compromission du stockage des céréales, montrent qu’une manipulation minime peut provoquer des interruptions de service. Les dirigeants devraient évaluer comment les brèches numériques pourraient déclencher des perturbations physiques dans leur propre environnement.
- Une mauvaise conception du réseau permet des intrusions rapides : Les réseaux non segmentés et les contrôles d’accès par défaut permettent aux attaquants de se déplacer rapidement et d’altérer les opérations essentielles. Les organisations doivent donner la priorité à la séparation des réseaux entre les technologies de l’information et les technologies de l’information et de la communication (OT) en tant que stratégie essentielle d’atténuation des risques.
- Les hacktivistes multiplient les perturbations axées sur la visibilité : Il ne s’agit pas d’opérations furtives ; ils visent un impact immédiat et l’attention du public. Les dirigeants doivent aligner leurs stratégies de réponse aux incidents pour les événements à forte visibilité sur les contrôles du risque de réputation.
- La cyberhygiène reste la défense la plus efficace : L’inventaire des actifs, l’application de la confiance zéro, l’accès à distance renforcé et la détection dynamique sont des bases essentielles. Les équipes dirigeantes doivent veiller à ce que ces principes fondamentaux soient appliqués de manière cohérente dans toutes les unités commerciales qui gèrent l’infrastructure.
- La sécurité publique dépend désormais de la sécurité des infrastructures : Les attaquants ciblant les systèmes d’approvisionnement en eau, d’énergie et d’agriculture, la cybersécurité déficiente devient un problème de risque public. Les conseils d’administration et les dirigeants doivent faire de la protection des infrastructures une responsabilité stratégique et sociétale.
