Ukraine : des intrus manœuvrent à distance et des clients perdent l’électricité

Le 23 décembre 2015, des coupures non programmées touchent environ 225 000 clients de distributeurs d’électricité ukrainiens. L’enquête technique internationale conclut à des intrusions à distance contre trois entreprises régionales. Le résultat se voit dans les foyers, pas seulement sur les écrans des opérateurs.

Les attaquants accèdent à des environnements depuis lesquels ils peuvent agir sur la distribution. La perturbation combine l’action sur des équipements et des mesures destinées à compliquer la réaction. Le système électrique devient la cible d’une opération préparée dans l’informatique de l’exploitant.

Le logiciel BlackEnergy est découvert dans les réseaux concernés. Le premier rapport technique souligne toutefois que la présence d’un programme ne prouve pas à elle seule son rôle exact dans chaque coupure. Il faut distinguer l’outil qui facilite l’accès de l’action qui ouvre effectivement un disjoncteur.

Les équipes ukrainiennes rétablissent l’alimentation, notamment en revenant à des manœuvres manuelles lorsque cela est nécessaire. La réponse inclut ensuite des investigations et une revue des accès. La capacité de reprendre localement le contrôle d’un équipement compte alors autant que la protection d’un poste informatique.

Les autorités américaines rattachent ultérieurement les attaques contre le réseau électrique ukrainien à des opérations du renseignement militaire russe connues sous le nom Sandworm. Cette attribution gouvernementale est distincte du niveau de certitude plus limité du premier examen technique.

Cette histoire est impressionnante parce qu’elle montre un passage entre deux mondes. Des droits d’accès, des logiciels et des procédures deviennent des leviers sur un service physique dont dépend une population.