![\"Cyber-attaques](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock_1041718060.jpg\" "\\"Image")
<\/p>\n<\/p>\n
En 2018, \u00e0 l\u2019\u00e8re de l\u2019automatisation et de la mise en r\u00e9seau, les attaques informatiques contre l\u2019industrie du transport deviennent l\u00e9gion. Face \u00e0 des syst\u00e8mes bien souvent trop fragiles, les pirates rivalisent d\u2019ing\u00e9niosit\u00e9 pour exploiter des br\u00e8ches. Y compris dans les r\u00e9seaux les plus s\u00e9curis\u00e9s.<\/strong><\/p>\n En mai dernier, \u00e0 Copenhague, c'est une soci\u00e9t\u00e9 de v\u00e9los en libre-service qui se retrouvait victime d'un piratage<\/a>. Certes, primitif \u2013 l'effacement de leur base de donn\u00e9es \u2013 mais qui conduisit n\u00e9anmoins \u00e0 la perte d\u2019acc\u00e8s \u00e0 la flotte de v\u00e9los et \u00e0 la n\u00e9cessit\u00e9 de tous les rebooter manuellement. Ancien employ\u00e9 rancunier, concurrence fac\u00e9tieuse ou simple ScriptKiddie<\/em>, l'un de ces pirates informatiques amateurs aux succ\u00e8s accidentels ? Comme toujours, difficile d'identifier la motivation d'une telle attaque, aux cons\u00e9quences assez limit\u00e9es. Mais ce n'\u00e9tait qu'une compagnie de v\u00e9los... Imaginons \u2013 sans paniquer \u2013 quatre sc\u00e9narios un peu plus spectaculaires.<\/p>\n <\/p>\n Dans le second volet de la saga Die Hard<\/em> avec Bruce Willis, 58 Minutes pour vivre<\/em>, un a\u00e9roport se retrouve assi\u00e9g\u00e9. Sans tour de contr\u00f4le fiable, les avions ne peuvent plus atterrir et s'\u00e9crasent, faute de carburant ou pi\u00e9g\u00e9s par des informations fauss\u00e9es concernant la piste d'atterrissage. L'histoire se d\u00e9roule en 1990 : 28 ans plus tard, les choses seraient tr\u00e8s diff\u00e9rentes. Contrairement au film, prodigue en fusillades, l'assaut d'une prise de contr\u00f4le pourrait aujourd'hui se faire beaucoup plus discr\u00e8tement quand on sait qu\u2019il faut en moyenne pr\u00e8s de 300 jours<\/a> pour r\u00e9aliser qu'une structure informatique est corrompue...<\/p>\n Il faut en moyenne pr\u00e8s de 300 jours pour r\u00e9aliser qu'une structure informatique est corrompue<\/p><\/blockquote>\n Plus besoin de commando, juste d'un pirate isol\u00e9 capable par exemple d\u2019identifier l'employ\u00e9 imprudent<\/a> d'une compagnie low-cost, puis de l'amener \u00e0 connecter une cl\u00e9 USB v\u00e9rol\u00e9e \u00e0 son poste par exemple. Si les barri\u00e8res sont nombreuses, les services des a\u00e9roports ainsi que les avions en eux-m\u00eames sont aujourd\u2019hui tous connect\u00e9s. Et donc fragiles : une fois entr\u00e9e dans le serveur o\u00f9 se trouvent les billets d\u2019avion du jour, une patiente attaque r\u00e9seau pourrait, de fil en aiguille, d\u2019un serveur \u00e0 un autre, atteindre la tour de contr\u00f4le et en chemin, le syst\u00e8me de tri des bagages ou de refuel des avions. Voire prendre le contr\u00f4le d\u2019un avion. Si le temps de reconnaissance du terrain peut \u00eatre long, provoquer le chaos ne peut n\u00e9cessiter que quelques minutes, qu\u2019il s\u2019agisse de modifier la signalisation des pistes, de paralyser le transfert des bagages ou de faire d\u00e9border les r\u00e9servoirs. Un \u201ccyber-11-septembre\u201d n\u2019est pas \u00e0 exclure, tant l\u2019avion d\u2019aujourd\u2019hui est une machine technologique connect\u00e9e. Ainsi, un piratage de l\u2019int\u00e9rieur de la cabine ou depuis le sol est bien \u00e0 envisager : un chercheur am\u00e9ricain avait par exemple r\u00e9ussi \u00e0 modifier la direction d\u2019un avion<\/a> en envoyant une instruction \u00e0 l\u2019un des moteurs. John McClane - le h\u00e9ros incarn\u00e9 par Bruce Willis - n'aurait en 2018 plus que 3 Minutes pour vivre<\/em>.<\/p>\n <\/p>\n \u00c0 l'heure o\u00f9 le trafic ferroviaire s'ouvre \u00e0 la concurrence, c'est l'un des sc\u00e9narios les plus plausibles : non pas une d\u00e9claration de guerre inter\u00e9tatique qui se traduirait par un d\u00e9raillement meurtrier, mais un micro-travail de sape qui ferait baisser l'image d'une marque aux yeux de ses clients. Veut-on pirater les sites ou multiplier les retards ? Faire un trou dans la caisse ou grignoter la marge petit-\u00e0-petit ?<\/p>\n Si le but est de torpiller la r\u00e9putation d'une compagnie plut\u00f4t que de faire un casse, on fera en sorte de faire comme si chaque billet vendu ne l'avait pas \u00e9t\u00e9, jusqu'\u00e0 ce que le quai se retrouve avec deux fois trop de voyageurs. Le syst\u00e8me interbancaire SWIFT a d\u00e9j\u00e0 \u00e9t\u00e9 hack\u00e9 et pourrait l\u2019\u00eatre de nouveau, non pas dans le cas d\u2019un simple casse mais d\u2019une v\u00e9ritable attaque visant \u00e0 provoquer des perturbations bien tangibles sur les quais. Le site d\u2019une compagnie ferroviaire pr\u00e9sente le m\u00eame degr\u00e9 de complexit\u00e9 que n'importe quelle interface interbancaire<\/a> en ligne et s'av\u00e8re en tant que tel potentiellement piratable. Il est n\u00e9anmoins plus intimidant dans la mesure o\u00f9, en cas d'attaque, l'\u00c9tat lui-m\u00eame pourrait se pencher sur ce qui se passe.<\/p>\n <\/p>\n En piratant un syst\u00e8me de paiement informatique, des pirates am\u00e9ricains sont r\u00e9cemment parvenus \u00e0 pirater une pompe \u00e0 essence et \u00e0 profiter de 1 500$ de pleins gratuits. En ce qui concerne le transport automobile, inutile de redouter la concurrence (elle n'existe pas vraiment), ni \u00e9tatique. En revanche, des attaques de type ransomwares<\/em><\/a> sur les p\u00e9ages et tous les tron\u00e7ons payants du r\u00e9seau routier, sont plus probables. Prenons l\u2019exemple d\u2019un exploitant de tunnel (type Mont Blanc, Eurotunnel) : quiconque s'emparerait du syst\u00e8me informatique de contr\u00f4le pourrait alors faire chanter la compagnie responsable de l\u2019infrastructure. La mainmise sur les \u00e9vacuations d'air du tunnel peut \u00eatre ici un redoutable moyen de chantage. Et avec un peu moins d'ambition, on pourra toujours se rabattre sur le contr\u00f4le des barri\u00e8res de p\u00e9ages et des parkings...<\/p>\n Un tel piratage essayera ensuite de garder le contr\u00f4le le plus longtemps possible de ses leviers de chantage. Cela pourrait se faire avec un virus de type MyLobot, malware<\/em> capable de tuer tous ses semblables, de r\u00e9parer derri\u00e8re lui les failles par lesquelles il s'est infiltr\u00e9, puis de s'emmurer \u00e0 l'int\u00e9rieur du r\u00e9seau.<\/p>\n <\/p>\n Qu'est-ce qui pourrait pousser qui que ce soit \u00e0 pratiquer une cyberattaque sur le fret maritime<\/a> ? De nombreux sites exp\u00e9dient et re\u00e7oivent des produits toxiques comme \u00e0 Gennevilliers par exemple, premier port autonome de France, o\u00f9 d'immenses r\u00e9serves de p\u00e9trole et de gaz arrivent par voie fluviale. Apr\u00e8s Barcelone et San Diego, un \"hacktiviste\" \u00e9cologiste pourrait ainsi choisir de faire passer son message en infiltrant les syst\u00e8mes informatiques de contr\u00f4le charg\u00e9s de l'arriv\u00e9e des bateaux.<\/p>\n Des syst\u00e8mes qui fonctionnent g\u00e9n\u00e9ralement sans connexion Internet, mais pas forc\u00e9ment d\u00e9connect\u00e9s et encore moins inattaquables. En effet, il existe toujours un moyen de traverser le foss\u00e9 - nomm\u00e9 air gap<\/em> - cernant ces pseudo-forteresses. Les feux rouges r\u00e9gulant la circulation sont bien contr\u00f4l\u00e9s par un r\u00e9seau : on peut imaginer que quelqu'un de malintentionn\u00e9 qui parviendrait \u00e0 les manipuler aurait la possibilit\u00e9 d'engorger le port en y faisant entrer trop de bateaux, voire de provoquer des accidents.<\/p>\n \u00c0 partir de l\u00e0, ce n'est plus le second volet de Die Hard<\/em> que l'on aura en t\u00eate, mais le quatri\u00e8me, sorti en 2007, dans lequel la prise de contr\u00f4le de la signalisation par des pirates ne manque pas de cons\u00e9quences tangibles. Il ne vaut mieux en effet pas que l\u2019hacktiviste trouve l'acc\u00e8s \u00e0 la vanne qui contr\u00f4le les r\u00e9servoirs de r\u00e9cup\u00e9ration d'essence entre tankers \u2013 et ouvre la vanne en attendant que quelqu'un y jette son m\u00e9got. Pas \u00e9colo en l'occurrence, mais spectaculaire. Quitte \u00e0 donner dans le sc\u00e9nario hollywoodien et les pirates sp\u00e9cialistes du trolling fluvial, on imagine facilement le Graal que repr\u00e9senterait la prise de contr\u00f4le du Canal de Panama.<\/p>\n Bien qu\u2019imaginaires, ces sc\u00e9narios illustrent la fragilit\u00e9 de l\u2019industrie du transport et de ses r\u00e9seaux. \u00c9tendus, distribu\u00e9s, diffus, interconnect\u00e9s ; ce sont les caract\u00e9ristiques-m\u00eames de ces r\u00e9seaux qui les rendent particuli\u00e8rement difficiles \u00e0 s\u00e9curiser et par cons\u00e9quent vuln\u00e9rables. Pour apporter des premiers \u00e9l\u00e9ments de r\u00e9ponse \u00e0 cette situation, les agences gouvernementales (comme l\u2019ANSSI en France et le BSI en Allemagne) publient r\u00e9guli\u00e8rement des recommandations et bonnes pratiques<\/a>.<\/p>\n <\/p>\nVers un \u201ccyber-11-septembre\u201d ?<\/h2>\n
Piratage d\u2019un syst\u00e8me de vente de billets de train<\/h2>\n
Stations-service, p\u00e9ages, tunnels : le r\u00e9seau routier en potentiel danger<\/h2>\n
Des cyber-hacktivistes contre la pollution maritime<\/h2>\n