00:03L'alerte cyber de Smartech s'arrête aujourd'hui sur une menace cyber grandissante, les sabotages.
00:11On en parle aujourd'hui avec Benoît Grunemwald.
00:12Bonjour Benoît, qui est connecté avec nous à distance, expert chez EZ, un fournisseur européen de solutions de cybersécurité.
00:20Alors Benoît, aux assises de la cybersécurité qui ont lieu il y a quelques temps, mais il n'y a
00:25pas si longtemps à Monaco,
00:26le directeur de l'ANSI a prévenu qu'on n'avait encore rien vu en matière de cybercriminalité comparé au
00:33risque de sabotage qui plane sur l'Europe.
00:36Et il a fait référence notamment à l'attaque contre le réseau électrique en Pologne.
00:42Je sais que les équipes des EZ ont travaillé dessus. Est-ce que vous pouvez nous rappeler les faits, ce
00:47qui s'est passé ?
00:48Oui, c'est arrivé fin décembre 2025 alors qu'il faisait bien froid.
00:53Cela a eu lieu quasiment jour pour jour, dix ans après une attaque similaire contre un réseau d'électricité en
01:01Ukraine.
01:02Et l'objectif était malheureusement assez simple, c'est de couper l'électricité là en Pologne,
01:09et notamment parce que la Pologne a servi, sert de délestage pour l'Ukraine.
01:16Est-ce qu'il y a eu des conséquences, des dégâts très concrètement ?
01:21Dans cette affaire, heureusement non, notamment parce que les équipes ont été très réactives.
01:27La détection s'est bien déroulée.
01:32Et vous le disiez, effectivement, nos équipes en fait protègent une partie de ces infrastructures.
01:39Et on a vu assez vite, notamment grâce à un EDR, quels étaient les logiciels malveillants qui étaient utilisés.
01:46Et aussi les comportements, les intrusions qui ont été menées pour arriver jusqu'aux points centraux de ces productions d
01:55'énergie.
01:56Comment est-ce qu'on s'assure qu'on est face à une cyberattaque finalement,
01:59quand on constate des pannes ou des risques de pannes qui se produisent à différents endroits ?
02:05Parce que je crois que ça a été une attaque qui a été menée aussi sur quatre opérateurs, donc assez
02:10dispersés.
02:11Qu'est-ce que vous pouvez nous dire sur le mode opératoire, ce qui permet d'identifier une cyberattaque et
02:15même des cyberattaquants, un groupe spécifique ?
02:18Pour répondre à la deuxième partie de la question, on a des signatures.
02:23Ces signatures correspondent à des tactiques techniques et procédures.
02:27C'est d'ailleurs référencé de manière publique.
02:30On coopère tous ensemble, nous défenseurs, dans différents frameworks, je pense notamment à Mitre et Attaque.
02:37Et on va décrire quels sont les modes de fonctionnement des différents groupes d'attaquants en fonction de 13 étapes
02:44qui constituent celles qu'ils doivent remplir pour pouvoir arriver à leur fin.
02:50Et ces 13 étapes sont assez normées et on va comme ça pouvoir définir qu'il y a déjà une
02:58reconnaissance,
02:59qu'il y a ensuite une première tentative d'accès.
03:03Dans le cas présent, c'était des équipements de bordure qui ont été pris d'assaut,
03:07qui ont permis d'aller plus loin dans le système.
03:10Et puis, ces éléments nous permettent de qualifier non pas une panne technique,
03:16comme on peut le voir parfois sur des grands opérateurs de téléphonie au niveau national
03:21ou sur d'autres éléments.
03:25Et là, on voit bien, c'est très caractéristique, que c'est une attaque qui est en cours.
03:30Ces phases-là sont très claires et on arrive ensuite, en fonction de ces différentes phases, à les attribuer.
03:38Alors parfois, et c'est le cas dans cette affaire, avec une confiance moyenne pour nous
03:44quant à l'acteur qui serait derrière cette attaque.
03:48Le CERT polonais, lui, a un petit peu plus de niveau de confiance quant à l'acteur.
03:54Mais on arrive à reconnaître soit des éléments techniques, soit des comportements
03:59qui font qu'on peut attribuer cette attaque.
04:03Le CERT polonais va le faire avec un grand A, une attribution plutôt à un pays.
04:09Nous, entreprise privée, on va le faire avec un petit A, attribution à des modes opératoires,
04:14à des techniques, ce qui nous amène à l'attribuer à un groupe d'attaquants
04:17avec une certaine confiance et non pas un pays.
04:20Et en l'occurrence, on parle d'un groupe d'attaquants lié à la Russie.
04:24Oui, alors le CERT polonais et nos chercheurs ne sont pas totalement en phase avec qui serait
04:32le groupe d'attaquants.
04:33Par contre, on est aligné sur le fait que c'est pour nous un groupe d'attaquants
04:36qui serait aligné avec les intérêts de la Russie.
04:39Sandworm pour nous, Statik Tundra pour le CERT polonais.
04:45Des éléments nous permettent d'avoir avec plus ou moins de confiance justement cette attribution
04:50parce que c'est quand même un acte qui est assez compliqué.
04:54On le voit, un certain nombre d'acteurs, notamment alignés avec les intérêts de la Russie,
05:00vont coopérer, ce qui est assez nouveau dans l'écosystème, on va dire,
05:06des attaquants alignés avec les intérêts de la Russie.
05:08Certains vont fournir des accès à certaines entités et puis vont passer la main
05:15quand elles vont voir que ces entités ont un intérêt stratégique qui dépasse peut-être
05:20leur capacité, ce que l'on voit plus facilement dans un écosystème partagé,
05:27on va dire, dans l'écosystème aligné avec les intérêts de la Chine.
05:30Et qu'est-ce que vous pouvez nous dire, juste pour être un peu plus précis peut-être
05:33sur le mode opératoire, sur le choix qui a été pris par ces attaquants
05:38pour s'en prendre au réseau électrique ?
05:40Ils ont utilisé quel type de malware ?
05:42Alors, ils ont tout d'abord réussi à compromettre et à utiliser des vulnérabilités
05:48sur des équipements de bordure.
05:49Donc, des équipements de bordure, c'est ce qui va permettre d'intégrer le réseau.
05:53Ce sont des routeurs, des firewalls, des VPN.
05:55Ceux-ci avaient à la fois une vulnérabilité et des accès VPN sans authentification multifacteur.
06:00L'histoire se répète.
06:03Et une fois entrés dans les réseaux des producteurs d'énergie,
06:08et bien là, ils ont déployé des logiciels et des logiciels qui sont très spécifiques
06:13et assez spécifiques, notamment aux groupes alignés avec la Russie,
06:16que sont des wipers.
06:18Donc, des logiciels qui visent à complètement effacer
06:23et généralement à rendre inefficace la possibilité de retour en arrière.
06:27Les mécanismes, notamment dans cette affaire,
06:31c'est des mécanismes Hitachi qui servent à piloter la production d'énergie.
06:36Et donc, leur objectif était d'installer ces logiciels,
06:40de les lancer et de faire en sorte que les matériels ne soient plus efficaces
06:46et qu'ils puissent même être détruits par leur action.
06:49Ce qui pourrait nous rappeler en quelque sorte des objectifs de type Stuxnet
06:53où l'objectif était vraiment de rendre inopérant et impossible à revenir
06:59pour des équipements industriels.
07:01Est-ce que dans cette chaîne d'attaque, l'intelligence artificielle a joué un rôle ou pas du tout ?
07:07C'est assez difficile à dire.
07:08En tout cas, dans à la fois les tactiques techniques et procédures liées aux équipements de bordure,
07:14nous n'en avons pas repéré spécifiquement.
07:17Et dans le développement du logiciel, nous n'avons pas non plus de marqueurs
07:21qui nous permettent avec une très grande certitude d'affirmer
07:25qu'il y a l'utilisation de l'intelligence artificielle.
07:29Certainement que celle-ci a été utilisée dans l'étude des matériels.
07:34Donc, a priori, parce que quand on est sur des matériels aussi pointus
07:39et parfois difficiles à obtenir,
07:42même si on est aligné avec les intérêts d'un gouvernement,
07:46il peut être difficile d'avoir chez soi des machines énormes
07:49qui vont nous permettre de piloter des fermes d'éoliennes
07:53et ou de la production solaire.
07:54Donc, il faut étudier avec une très grande précision
07:58le fonctionnement de ces OT,
08:01des objets industriels, objets connectés industriels.
08:04Et donc, là, l'intelligence artificielle, malheureusement,
08:07prend tout son sens pour analyser des fonctionnements,
08:11des documents techniques
08:14et comprendre comment aller soi-même ensuite les piéger.
08:17Alors, Mathieu Tartare, qui est un chercheur chez EZ,
08:21il a présenté une étude sur les campagnes APT
08:24qui met en évidence un espionnage persistant.
08:28L'espionnage, ça reste la menace numéro invisiblement aujourd'hui
08:31devant la menace des sabotages.
08:34C'est toujours le cas ?
08:35Dans notre télémétrie, c'est-à-dire l'analyse
08:38que l'on fait des différentes attaques au niveau mondial,
08:42effectivement, l'espionnage est en première place
08:46devant le sabotage et cela tient principalement au fait
08:51que l'espionnage est mené par des groupes
08:54qui sont alignés avec les intérêts de la Chine
08:56et ces groupes ont pour objectif
08:59de mener des campagnes qui leur permettent
09:02de se positionner dans des entités
09:04pour mener des études quant à leur capacité de négociation,
09:10par exemple, aux nouvelles routes de la soie,
09:12savoir qui opère, comment opère, quelle est la marge de manœuvre
09:16que l'on peut avoir commercialement
09:18dans telle ou telle avancée.
09:21Les affaires liées au sabotage
09:25sont majoritairement issues de groupes alignés
09:28avec la Russie
09:30et effectivement, en quantité, chez nous,
09:34elles sont moins importantes.
09:35Et ce risque lié au cyberespionnage,
09:39on le voyait auparavant principalement
09:41dans des zones géographiques
09:43qui étaient celles proches du territoire chinois.
09:47Aujourd'hui, on les voit beaucoup plus liées
09:50avec la stratégie de la Chine,
09:53c'est-à-dire finalement une portée mondiale
09:55dont l'Europe.
09:56Oui, c'est-à-dire que ces espionnages
09:58ciblent les gouvernements européens ?
10:01Les entités européennes,
10:02qu'elles soient gouvernements ou entreprises privées
10:06ayant des intérêts stratégiques liés
10:08à l'expansion stratégique, elle aussi, de la Chine.
10:11Et alors, comment vous voyez les choses se dérouler là ?
10:14Je ne vous demande pas de nous lire une boule de cristal,
10:16mais quelles sont les perspectives aujourd'hui
10:18en matière de cyberdéfense face au risque de sabotage
10:21pour revenir à notre sujet de départ ?
10:24Il est clair que, et quand on repense à Danfos,
10:29l'attaque qui s'est produite récemment
10:31sur les équipements qui servent à gérer
10:32les frigos industriels,
10:35il est clair qu'il y a un niveau à reprendre,
10:40pas forcément sur ce que l'on appelle,
10:41ou ce que l'on appelait,
10:43ou ce qu'on aimerait appeler les OIV,
10:46couverts par Nice 1,
10:47mais bien les entités importantes,
10:49les entités essentielles que Nice 2 couvrira
10:51très prochainement, j'imagine.
10:54L'idée, c'est bien que tous les acteurs
10:58qui sont à la fois dans un monde industriel
11:00et un monde de services
11:02montent leur niveau de protection
11:04pour éviter que ce type d'attaque puisse réussir.
11:10Merci beaucoup, Benoît Grunemval.
11:12Je rappelle que vous êtes expert en cybersécurité
11:14pour EZ France.
11:16Merci à tous de nous avoir suivis.
11:19C'était un Smartech spécial cyber aujourd'hui.
11:22On se retrouve dès demain.
11:23En attendant, je vous souhaite une excellente journée.
11:25A tous, très bientôt.
11:26Sous-titrage Société Radio-Canada
11:31Sous-titrage Société Radio-Canada
