2.1 Les grandes attaques OT — quinze ans d'avertissements

Découvert en juin 2010 par l'éditeur biélorusse VirusBlokAda, Stuxnet reste le ver informatique le plus emblématique de l'histoire OT. Attribué publiquement aux États-Unis et Israël (opération « Olympic Games »), il visait le programme nucléaire iranien — précisément les centrifugeuses IR-1 d'enrichissement d'uranium du site de Natanz.

Caractéristiques techniques de Stuxnet :

• ~ 500 Ko de code (énorme pour un malware de l'époque).
• 4 vulnérabilités 0-day Windows exploitées (un record).
• Propagation par clés USB infectées — contournement de l'air gap.
• Recherche ciblée d'une configuration très précise : un modèle d'automate donné, piloté par des variateurs de vitesse de deux fournisseurs identifiés, tournant dans une plage de fréquence caractéristique de l'enrichissement d'uranium. Sur toute autre installation, Stuxnet restait inerte.
• Modification du programme de l'automate pour faire varier la vitesse de rotation des centrifugeuses, les détruisant à terme.
• Dissimulation : Stuxnet renvoyait au SCADA les valeurs normales de fonctionnement pendant qu'il sabotait — les opérateurs ne voyaient rien.
• Certificats de signature de code volés à deux fabricants de matériel taïwanais, pour faire accepter ses pilotes par Windows.

Impact : ~ 1 000 centrifugeuses détruites sur 5 000 (estimation), retard significatif du programme nucléaire iranien. Mais la véritable conséquence stratégique a été la banalisation des cyberarmes étatiques et la course aux outils OT qui s'est déclenchée à partir de 2011-2012.

Leçons :

• L'air gap n'est pas une protection absolue : Stuxnet a traversé l'isolation par les clés USB.
• Les 0-day chaînés permettent de contourner toutes les défenses connues.
• Une cyberarme peut être ciblée avec une précision chirurgicale.
• La chaîne d'approvisionnement — ici, des certificats de signature volés à des fabricants légitimes — est un vecteur majeur.

Le 27 juin 2017, un faux ransomware nommé « NotPetya » (par analogie au ransomware Petya de 2016) se déclenche en Ukraine. Attribué à l'APT russe Sandworm (GRU), il a frappé en quelques heures des dizaines d'entreprises mondiales — sans qu'aucune d'entre elles ne soit ciblée nominativement.

Mécanisme NotPetya :

• Vecteur initial : compromission de la chaîne d'approvisionnement via M.E.Doc, un logiciel ukrainien de comptabilité utilisé par presque toutes les entreprises locales.
• Propagation latérale ultra-rapide via EternalBlue (vulnérabilité SMB, fuite Shadow Brokers) et Mimikatz (récupération d'identifiants en mémoire).
• Chiffrement du MFT (Master File Table) du disque rendant les machines inutilisables.
• Aucune clé de déchiffrement disponible — NotPetya était un wiper déguisé en ransomware, conçu pour détruire, pas extorquer.

Victimes industrielles majeures :

• Saint-Gobain : le groupe a chiffré l'impact à environ 220 M€ de chiffre d'affaires perdus au premier semestre 2017 et ~ 250 M€ sur l'exercice, pour un effet d'environ 80 M€ sur le résultat d'exploitation. Des sites industriels comme des fonctions support ont été arrêtés.
• Maersk : de l'ordre de 250 à 300 M$, avec la paralysie de terminaux portuaires exploités par le groupe dans le monde entier.
• Merck : environ 870 M$, dont une part portée ensuite devant les tribunaux face aux assureurs.
• FedEx / TNT Express : environ 400 M$.
• Et des dizaines d'autres grands groupes et ETI en Europe.
• Coût mondial estimé : environ 10 Md$ selon l'évaluation rendue publique par la Maison-Blanche en 2018 — la cyberattaque la plus coûteuse recensée à ce jour.

Leçons NotPetya pour l'industrie :

• Une attaque « non ciblée » peut faire plus de dégâts qu'une attaque chirurgicale.
• Le risque supply chain est immense — un seul logiciel compromis chez un éditeur peut contaminer des milliers d'entreprises.
• Une attaque conçue pour l'IT peut se propager à l'OT si la segmentation est insuffisante (Saint-Gobain).
• Le patching est crucial : EternalBlue était patché par Microsoft 2 mois avant. La plupart des victimes n'avaient pas appliqué le patch.

Découverte en août 2017 dans une raffinerie pétrochimique en Arabie saoudite par les équipes de réponse à incident de Mandiant/FireEye, l'attaque Triton (aussi appelée Trisis ou Hatman) marque un seuil : c'est la première fois qu'un malware cible un Système Instrumenté de Sécurité (SIS).

Les SIS sont les systèmes de dernier recours dans une usine. Lorsqu'un capteur détecte une dérive (pression, température, niveau), le SIS ferme les vannes et arrête les pompes pour mettre l'installation en position sûre. Ils sont conçus selon les normes IEC 61508 et IEC 61511, avec un niveau d'intégrité de sécurité (SIL) déterminé par l'analyse de risques du procédé. Compromettre un SIS, c'est supprimer la dernière barrière avant l'accident.

Cible de Triton : une gamme de contrôleurs de sécurité très répandue dans la pétrochimie et la chimie, identifiée publiquement à l'époque dans les avis de sécurité du fabricant et des agences américaines. L'attaquant a atteint le contrôleur par un réseau OT insuffisamment segmenté, puis tenté d'y téléverser un code modifié.

Découverte : par chance. Une erreur dans le code malveillant a déclenché un shutdown intempestif de l'usine. L'équipe de maintenance, en cherchant la cause, a découvert le code modifié. Sans cette erreur, l'attaque aurait pu rester invisible jusqu'à l'incident voulu par l'attaquant.

Attribution : le groupe XENOTIME, lié à l'institut russe CNIIHM (Central Scientific Research Institute of Chemistry and Mechanics), Moscou. Sanction US contre l'institut en 2020.

Leçons Triton :

• Les SIS sont accessibles par le réseau si la segmentation est insuffisante. Norme : isoler totalement le SIS du DCS et de l'IT.
• Beaucoup d'équipements OT en service n'imposent aucune signature cryptographique du micrologiciel ni du programme : qui atteint l'équipement peut y charger ce qu'il veut. Les générations récentes corrigent ce point, pas le parc installé.
• Les attaquants visent désormais explicitement la sûreté fonctionnelle — sans limites éthiques.
• La défense en profondeur est vitale : aucune couche unique ne suffit.

Norsk Hydro — 19 mars 2019 : l'aluminier norvégien, l'un des plus grands au monde, est frappé par le rançongiciel LockerGoga. Environ 22 000 postes sont chiffrés en quelques heures, sur des sites répartis dans des dizaines de pays. L'entreprise refuse de payer, communique publiquement au jour le jour, et bascule ses usines en fonctionnement manuel avec des procédures papier. L'impact financier a été évalué par le groupe à 650 à 750 millions de couronnes norvégiennes (de l'ordre de 70 M€) sur l'exercice 2019.

Colonial Pipeline — 7 mai 2021 : le plus grand oléoduc des États-Unis, qui achemine environ 45 % du carburant consommé sur la côte est, est frappé par le rançongiciel DarkSide. L'attaque touche les systèmes de gestion et de facturation, côté IT ; c'est l'exploitant qui arrête lui-même l'oléoduc, faute de pouvoir facturer les livraisons et par précaution. Résultat : plusieurs jours de rupture d'approvisionnement, une déclaration d'urgence régionale couvrant 17 États et le district de Columbia, des files d'attente dans les stations-service et un prix moyen de l'essence au plus haut depuis 2014. Rançon payée : environ 4,4 M$ en bitcoin, dont 2,3 M$ récupérés ensuite par le FBI. L'épisode a conduit l'administration américaine à imposer aux exploitants de pipelines des directives de sécurité contraignantes.

Deux précisions que l'on trouve souvent déformées : l'arrêt du pipeline était une décision de l'exploitant, pas un effet direct du malware sur l'OT ; et le dirigeant de l'entreprise n'a pas démissionné à la suite de l'attaque — il a été auditionné par le Congrès en juin 2021 et a pris sa retraite fin 2022.

Autres victimes industrielles ransomware notables :

• JBS Foods (mai 2021) — le plus grand transformateur de viande mondial. 11 M$ payés (groupe REvil).
• Kaseya (juillet 2021) — attaque supply chain REvil contre l'éditeur MSP, ~ 1 500 entreprises impactées en cascade.
• Sopra Steria (octobre 2020) — rançongiciel Ryuk, impact brut annoncé de 40 à 50 M€.
• Bouygues Construction (janvier 2020) — rançongiciel Maze.
• CHU de Rouen (novembre 2019) — rançongiciel Clop, retour au fonctionnement papier pendant plusieurs semaines.
• Centres hospitaliers de Dax et de Villefranche-sur-Saône (février 2021) — deux attaques rapprochées qui ont conduit à un plan gouvernemental de renforcement cyber pour la santé.

Caractéristiques communes des ransomwares industriels :

• Le ransomware vise généralement l'IT, mais paralyse l'OT par effet de bord (impossibilité de facturer, planifier, communiquer).
• Le modèle économique ransomware-as-a-service (RaaS) a démocratisé la menace : un affilié sans grande compétence achète l'accès à un kit Conti/LockBit/REvil et lance des attaques.
• La double extorsion est généralisée depuis 2020 : chiffrement + menace de divulgation des données volées.
• La cyber-assurance a explosé (prime ×3-5 entre 2019 et 2024) puis restreint ses couvertures (exclusions ransomware croissantes).