Une cyberattaque pourrait-elle provoquer une panne géante d'électricité en France ?

Pas de quoi faire tomber le réseau électrique français, direz-vous peut-être. De telles attaques peuvent effectivement être contrées simplement en déployant les correctifs des éditeurs de logiciels. «90% d’entre elles sont mineures. Le problème, ce sont les 10% restantes, beaucoup plus sophistiquées», alerte Ivan Fontarensky. EDF, producteur de 92% de l’électricité nationale, confirme. «Nous subissons environ un million de tentatives chaque année. La plupart contrée automatiquement. C’est l’équivalent d’une personne qui passerait devant un bâtiment pour voir si les portes sont ouvertes», explique Olivier Ligneul, directeur cybersécurité du groupe. Et puis, il y a les attaques qui passent le premier tamis. «Là, nous faisons intervenir nos experts cyber pour les contrer. Cela concerne entre 350 à 400 incidents par an».

Les centrales d'EDF se pilotent localement

Dans le cas où des pirates parviendraient tout de même à pénétrer le système informatique, ils ne pourraient pas utiliser cet accès pour contrôler l'outil industriel : les deux dispositifs sont en effet isolés. Si les équipes d’exploitation d’EDF reçoivent des ordres de production au niveau national, elles actionnent et surveillent les centrales localement. Elles s’appuient pour cela sur un système de téléconduite qui n’est pas informatisé. «Nous utilisons un réseau de diodes pour séparer les flux d’informations. Ces composants permettent de transmettre les signaux dans une seule direction, en se préservant de toute intrusion. Impossible d’accéder à cet environnement sans y être présent physiquement», précise encore Olivier Ligneul.

Pour autant, c’est ceinture et bretelles chez EDF. En plus de ses propres centres de contrôle, l’énergéticien fait appel à un prestataire de détection d'intrusion de sécurité qualifié par l’Agence nationale de la sécurité des systèmes d’information (Anssi) pour surveiller 24 heures sur 24 son environnement industriel et les parties les plus sensibles de son système informatique.

Le transport et la distribution d'électricité plus vulnérables

Finalement, la production d’électricité d’EDF paraît plus facile à protéger que le transport de l’électricité par les lignes à haute et très haute tension géré par sa filiale RTE (Réseau de transport d'électricité). Ou que sa distribution au domicile des consommateurs par Enedis. Curieux paradoxe. «Le transport et la distribution sont moins critiques qu’une centrale nucléaire, mais comme ils se sont fortement numérisés et ouverts vers l'extérieur, ils sont devenus plus vulnérables», résume Benoît Grunemwald, porte-parole et directeur des affaires publiques de l’éditeur de cybersécurité slovaque Eset. Le sujet est tellement sensible que RTE a refusé catégoriquement de répondre à nos questions. Pas simple en effet, pour lui, de sécuriser totalement des postes électriques bourrés de capteurs et connectés à Internet par la fibre optique. Si ces deux dispositifs lui permettent de remonter des informations en temps réel sur tout le réseau pour mieux le piloter, cela augmente aussi sa vulnérabilité aux attaques. De son côté, Enedis a installé des compteurs communicants Linky dans tous les foyers, afin de relever leur consommation à distance et détecter des incidents. Des boîtiers passés au crible et certifiés par l’Anssi. Mais le risque zéro n’existe pas et il reste possible qu’ils puissent servir, un jour, de point d’entrée à des attaquants.

Des hackers spécialisés dans les systèmes industriels

Au reste, les systèmes de gestion de l’énergie s’appuient sur des logiciels et des protocoles de communication standard dont les cybercriminels de toute la planète peuvent facilement détecter les fragilités. Cela a permis à des groupes de pirates numériques sponsorisés par des Etats comme la Chine, la Corée du Nord ou l’Iran de se spécialiser dans les systèmes industriels. Mais en matière d’électron, les plus experts restent les Russes. Il faut dire qu’ils ont eu le temps de s’entraîner depuis presque dix ans qu’ils s’escriment à pirater le système électrique ukrainien. La palme revient sans aucun doute à Sandworm dont les virus sont capables de cibler spécifiquement le protocole de communication IEC-104, servant à collecter et contrôler des données de réseaux énergétiques. Il est notamment utilisé par … RTE.

Citons aussi Berserk Bear, parfois appelé Dragonfly 2.0, coupable d’avoir mené des campagnes d’infiltration contre des fournisseurs d’électricité, ainsi que des entreprises pétrolières et gazières. Il aurait réussi à endommager des installations en Allemagne et aux Etats-Unis en 2018. La justice américaine offre de juteuses récompenses pour toute information concernant ses membres les plus éminents. Jusqu’à 10 millions de dollars pour Marat Valeryevich Tyukov, par exemple, également agent du renseignement russe (FSB).

Des méthodes de plus en plus sophistiquées

Les modes opératoires de ces assaillants, la société de cybersécurité Mandiant, filiale de Google, les a scrutés en détail. «Une fois l’attaque lancée, ils sont capables de faire croire à un opérateur que tout fonctionne normalement sur son poste, en masquant des perturbations en arrière-plan comme l’arrêt de la production d’énergie», nous raconte depuis Londres John Hultquist, analyste en chef.

Mais ce qu’il a vu de plus effrayant ces dernières années, c’est le logiciel malveillant Triton, capable de désactiver les systèmes de sécurité d’une installation industrielle critique et même de provoquer une explosion. Il avait été découvert juste à temps dans une raffinerie saoudienne en 2017. Parfois, les cybercriminels parviennent même à se servir des outils déjà présents dans le système pour le perturber, sans activer de virus. Ce qui les rend d’autant plus difficiles à repérer.

Notre réseau électrique est résilient

Si ces as de la cybercriminalité devaient un jour attaquer la France, ils tenteraient probablement de surcharger une ligne électrique pour entraîner des pannes en cascade. Sans viser nécessairement un effondrement du réseau. «C'est une chose de provoquer une panne, c’en est une autre d’empêcher le système électrique de se reconnecter. Il est construit de telle sorte qu’il y a beaucoup de redondances et cela le rend résilient», souligne John Hultquist. L’incident ne serait donc que temporaire. «Ces attaques sont essentiellement psychologiques, conçues pour faire peur aux populations et envoyer un signal au gouvernement sans déclencher une troisième guerre mondiale. Comme des troupes se massant à une frontière, par exemple», analyse l’expert de Mandiant.

C’est exactement ce qui s’est passé le 2 mars dernier. La chaîne Telegram CyberArmyofRussia_Reborn s’est vantée ce jour-là d’avoir piraté la centrale hydroélectrique de Courlon-sur-Yonne, au sud-est de Paris. Une vidéo de l’infrastructure filmée par drone a été postée en ligne, suivie d’une démonstration de prise de contrôle du logiciel ouvrant les vannes. Un montage truqué en réalité. Car c’est un petit moulin de Courlandon, un village de 300 habitants, qui a été piraté. Et l’eau n’y était montée que de vingt centimètres.

Semer le trouble et effrayer la population

Pourquoi une manipulation aussi grossière ? A peu près à la même période, le même compte CyberArmyofRussia a revendiqué l’attaque de plusieurs services publics d’eau américains au Texas, ainsi que d’une usine de traitement des eaux usées polonaise. «Certains groupes de hackers se vantent de telle ou telle action, les exagèrent, et parfois même n’en sont pas les auteurs. Tout ça dans une sorte de jeu d’influence, de sorte à obtenir des contrats du Kremlin ou à gonfler les prix de leurs prestations», analyse Julien Nocetti, chercheur associé au centre de géopolitique du numérique Geode. Et cela brouille la lecture de ce type d’incidents, même pour nos services de renseignements. «L’un des grands avantages de l'outil cyber, c'est de créer une confusion permanente pour nous empêcher de savoir qui est réellement à l’origine des actions et jusqu’à quel stade l’acteur est prêt à aller», fait observer le géopolitologue.

Les opérations les plus spectaculaires ne sont pas forcément les plus inquiétantes. Une cyberattaque sophistiquée du réseau électrique ne s’improvise pas. Cela coûte cher et se prépare longtemps à l’avance. Comme le célèbre ver informatique Stuxnet conçu par les services américains et israéliens pour perturber le programme nucléaire iranien. Découvert en 2010 après avoir endommagé des centaines de centrifugeuses destinées à enrichir de l’uranium, il aurait été introduit un an auparavant et nécessité des années de mise au point. Peut-être au moment où nous écrivons ces lignes, des puissances étrangères mal intentionnées sont-elles en train d’avancer leurs pions en silence, posant ici ou là des accès dormants partout en Occident, y compris en France, dans l’objectif de les activer pour provoquer, des mois plus tard, une panne électrique. Reste à connaître l’ampleur de celle-ci…