Une cyberattaque coordonnée visant plus de 30 services publics des eaux à travers le Minnesota a déclenché une réponse de cybersécurité à l’échelle de l’État.
Bien qu’aucun impact sur la qualité de l’eau potable n’ait été signalé, l’incident montre comment des attaques contre les systèmes de contrôle industriels peuvent perturber temporairement des services publics essentiels.
Bien que cela soit présenté comme une attaque contre les systèmes OT, est-il possible que la compromission initiale ait eu lieu sur le réseau informatique de l’entreprise, les dispositifs de sécurité intégrés ou les mécanismes de sûreté des systèmes OT s’étant déclenchés en conséquence ?
« Le problème est que de nombreux programmes de sécurité sont encore conçus pour détecter des attaques bruyantes comme les rançongiciels ou les intrusions éclair par effraction, a déclaré John Strand, Owner, Black Hills Information Security, Inc., dans un e-mail adressé à eSecurityPlanet.
Il a ajouté : « Ils sont beaucoup moins efficaces pour repérer l’activité discrète et progressive qui caractérise de nombreuses opérations menées par des États-nations. »
Points clés de l’incident touchant les services des eaux du Minnesota
- Plus de 30 services des eaux du Minnesota ont été ciblés par une cyberattaque coordonnée qui aurait perturbé les systèmes de technologie opérationnelle (OT).
- Les services ont maintenu l’approvisionnement en eau grâce à des opérations manuelles et à des plans d’urgence, sans qu’aucun impact sur la qualité de l’eau potable n’ait été signalé.
- Les autorités n’ont pas identifié l’auteur de la menace ni communiqué de détails techniques.
- L’incident confirme la nécessité d’une sécurité OT à plusieurs niveaux, notamment la segmentation des réseaux, la surveillance continue, l’accès distant sécurisé et des plans de réponse aux incidents régulièrement testés.
Ce qui s’est passé lors de la cyberattaque contre les services des eaux du Minnesota
Les attaques coordonnées ont eu lieu les 26 et 27 juillet et ont ciblé les systèmes de technologie opérationnelle (OT) utilisés par plus de 30 services publics des eaux à travers le Minnesota.
En réponse, Minnesota IT Services (MNIT) a activé son dispositif de réponse aux cyberincidents à l’échelle de l’État et a coordonné ses efforts avec des partenaires fédéraux, étatiques, locaux, tribaux et du secteur privé afin d’enquêter sur les attaques et de soutenir les services touchés.
Alors que l’enquête se poursuit, les autorités n’ont pas révélé publiquement comment les attaquants avaient accédé aux environnements OT concernés ni identifié l’auteur de la menace.
L’une des premières perturbations confirmées publiquement s’est produite dans la ville de Braham, où les autorités ont indiqué que l’usine municipale de traitement de l’eau s’était arrêtée de manière inattendue.
En quelques heures, les équipes ont rétabli les opérations et confirmé que l’installation avait repris ses activités normales de filtration et de traitement de l’eau.
D’autres collectivités du Minnesota ont également signalé des dysfonctionnements temporaires de leurs équipements, ce qui a conduit les services à passer en mode manuel ou à activer leurs plans d’urgence pendant que les enquêteurs intervenaient.
Malgré ces perturbations, les autorités de l’État ont indiqué que les habitants n’avaient pas été invités à modifier leur consommation d’eau potable, ce qui laisse penser que les attaques ont touché les opérations plutôt que la qualité de l’eau ou la sécurité publique.
L’incident met également en lumière les défis uniques de cybersécurité auxquels sont confrontés les environnements de technologie opérationnelle.
Contrairement aux systèmes informatiques qui gèrent les données de l’entreprise, les systèmes OT contrôlent des processus physiques tels que le traitement de l’eau, le pompage, le dosage de produits chimiques et la distribution.
Ainsi, même des attaques qui n’impliquent ni rançongiciel ni vol de données peuvent perturber des services essentiels en contraignant les opérateurs à s’appuyer sur des commandes manuelles jusqu’à la restauration des systèmes.
L’enquête est toujours en cours et aucun détail technique n’avait été publié au moment de la parution.
Comment les organisations peuvent réduire les risques de sécurité OT
L’incident rappelle également que la réduction des risques OT nécessite une approche à plusieurs niveaux pour sécuriser les systèmes et se préparer aux perturbations opérationnelles.
- Inventoriez les actifs OT et surveillez en continu les réseaux industriels afin de détecter rapidement les activités non autorisées et les nouvelles menaces.
- Segmentez les technologies opérationnelles des réseaux informatiques de l’entreprise et réduisez au minimum les systèmes exposés à Internet ainsi que les interfaces de gestion à distance, comme les IHM.
- Sécurisez les accès à distance et de tiers avec l’authentification multifacteur, le principe du moindre privilège et des accès privilégiés limités dans le temps.
- Mettez en place un processus de correction des vulnérabilités fondé sur les risques et de renforcement des systèmes OT, comprenant des examens réguliers des logiciels, micrologiciels et configurations d’appareils obsolètes.
- Surveillez en continu les systèmes de contrôle industriels afin de détecter les commandes inhabituelles, les changements de configuration et autres signes de compromission.
- Sauvegardez régulièrement les automates programmables industriels (PLC) et les systèmes SCADA, les configurations des IHM et les autres actifs OT critiques, et vérifiez qu’ils peuvent être rapidement restaurés après un incident.
- Testez la réponse aux incidents, la continuité d’activité et les procédures d’exploitation manuelle avec les équipes informatiques et OT afin de garantir le maintien et la restauration des services critiques pendant une cyberattaque.
Une stratégie proactive de sécurité OT contribue à réduire la surface d’attaque, à améliorer la cyberrésilience et à garantir la continuité des opérations essentielles pendant et après un incident.
En résumé
L’incident du Minnesota rappelle une fois de plus que la protection des infrastructures critiques exige de considérer l’informatique et les systèmes OT comme des domaines de sécurité interconnectés, plutôt que comme des environnements distincts.
Alors que les tensions géopolitiques se répercutent de plus en plus dans le cyberespace, les opérateurs d’infrastructures critiques doivent s’attendre à continuer d’intéresser aussi bien les acteurs de la menace motivés par des considérations financières que les groupes liés à des États-nations, qui cherchent à perturber des services essentiels ou à établir un accès stratégique.
Que l’attaque ait commencé dans l’informatique, dans les systèmes OT ou dans les deux, les organisations devraient améliorer leur visibilité sur ces deux environnements et valider leur résilience.
Utilisez Zero Trust pour contribuer à renforcer la sécurité des systèmes OT.