Conçues pour échapper à la détection : la surface d'attaque en constante expansion des infrastructures critiques

• Les infrastructures critiques peuvent subir des perturbations provenant du réseau de l'entreprise, et des cas récents survenus dans le secteur de la santé publique montrent comment une simple action d'un utilisateur impliquant un fichier malveillant peut entraîner une cascade de perturbations opérationnelles.
• Le courrier électronique reste l'une des portes d'entrée les plus sollicitées de la surface d'attaque : un canal qui, de par sa conception même, permet d'atteindre à grande échelle aussi bien les machines que les personnes qui les utilisent.
• Les environnements isolés physiquement dépendent toujours des contenus provenant du côté connecté, ce qui rend l'inspection en amont essentielle avant que les fichiers ne parviennent dans des systèmes plus sensibles.
• L'innovation est essentielle à la résilience, mais chaque nouveau fournisseur, chaque nouvelle intégration et chaque nouveau canal de mise à jour doivent être planifiés avec le même soin que celui accordé aux avantages opérationnels qu'ils permettent d'obtenir.
• Une stratégie de défense adaptée à cette réalité considère la sécurité des e-mails comme l'un des piliers d'un modèle global à plusieurs niveaux, qui analyse et réduit les risques avant que le contenu n'atteigne son destinataire, qu'il s'agisse d'un humain ou d'une machine.

Dans le domaine des infrastructures critiques, l’isolation a souvent été considérée comme l’aboutissement de la sécurité : il suffit de segmenter le réseau, de mettre en place une barrière physique pour les systèmes les plus sensibles, et le problème est maîtrisé. Or, les opérations métier se déroulent en dehors du cœur isolé du réseau : planification, logistique, facturation, historiques de processus, surveillance. Ce domaine constitue lui aussi une surface d’attaque.

La question n’est donc pas seulement de savoir ce qui se trouve derrière la barrière physique, mais aussi ce qui peut être perturbé avant que quoi que ce soit n’y parvienne. Pour de nombreuses organisations gérant des infrastructures critiques, notamment les hôpitaux, les banques et les réseaux de transport qui ne pourraient pas fonctionner pleinement derrière une barrière physique, le réseau d’entreprise constitue une partie essentielle de leur infrastructure.

Et ce domaine comporte une porte d’entrée particulièrement fréquentée. Le courrier électronique est l’une des portes les plus fréquentées de la surface d’attaque, un canal que chaque organisation laisse ouvert par nature, car c’est par là que le travail arrive : mises à jour des fournisseurs, documents des sous-traitants, la feuille de calcul qui marque le début d’un projet. Il représente une double menace : d’une part, il atteint les machines avec des fichiers et des liens qui s’exécutent ; d’autre part, il atteint les personnes en les incitant à ouvrir ces fichiers. Peu de canaux permettent d’atteindre ces deux cibles à une échelle comparable. Les cas présentés ci-après sont d’ordre public et montrent comment les e-mails, les fichiers malveillants ou les actions d’utilisateurs de confiance peuvent constituer la première étape d’une perturbation opérationnelle plus large.

L'Health Service Executive (HSE) irlandais est l'une des rares victimes à avoir opté pour une transparence totale, en commandant et en publiant une étude indépendante, ce qui permet d'analyser ce cas en détail. En mars 2021, un utilisateur a cliqué sur un lien contenu dans un e-mail de hameçonnage, ce qui a infecté un poste de travail avec un logiciel malveillant. Les attaquants ont ensuite opéré au sein de l’environnement pendant huit semaines avant de déclencher un rançongiciel, mettant à profit ce délai pour compromettre des serveurs et des comptes privilégiés, se déplacer latéralement et exfiltrer des données avant que la perturbation ne devienne visible à l’échelle nationale. Le service de santé a mis ses systèmes informatiques hors service pour endiguer la propagation. Les hôpitaux sont revenus au stylo et au papier, les rendez-vous ont été annulés dans tout le pays, la remise en état a pris plus de quatre mois et le coût de la remise en état était estimé à 102 millions d’euros en novembre 2024.

Une faille de sécurité liée aux e-mails ne se limite que rarement à un simple problème de messagerie ; elle peut entraîner une cascade de perturbations opérationnelles et commerciales, avec des conséquences financières à la clé. En 2024, Ascension a indiqué qu’ un employé avait téléchargé un fichier malveillant, ce que l’organisation a qualifié d’« erreur involontaire ». Cet incident a contraint l’un des plus grands réseaux hospitaliers américains à rediriger des ambulances, à reporter des soins et, par la suite, à signaler que 5 599 699 personnes avaient été touchées.

Un scénario que les responsables de la sécurité devraient envisager est celui où rien ne se passe dans un premier temps, où l’attaquant s’installe au sein du réseau de l’entreprise et consulte : les schémas de réseau, les documents techniques, les identifiants, les plannings de maintenance, ainsi que les flux de transfert eux-mêmes. Et lorsque la lecture se transforme en action, les conséquences peuvent se répercuter dans le monde physique. C’est ainsi que se serait déroulée, selon certaines sources, l’attaque de 2015 contre le réseau électrique ukrainien: les rapports publics et les analyses techniques décrivent une compromission préalable des réseaux d’entreprise par le biais d’e-mails de spear-phishing contenant le logiciel malveillant BlackEnergy, suivie d’une phase de reconnaissance, d’un vol d’identifiants et d’une perturbation coordonnée des sous-stations. L’incident a touché environ 225 000 clients. Un message de confiance, une action de routine, de multiples conséquences opérationnelles.

Les infrastructures critiques innovent parce qu'elles y sont contraintes. Les menaces s'intensifient, les attentes en matière de disponibilité augmentent et la résilience dépend de plus en plus de systèmes plus intelligents et mieux connectés. Une sous-station qui fonctionnait selon la même logique depuis vingt ans peut désormais transmettre ses données à des outils d’analyse dans le cloud ; une pompe qui était contrôlée manuellement une fois par équipe peut désormais transmettre en continu ses données télémétriques à un fournisseur ; et la maintenance, qui attendait auparavant qu’une panne survienne, peut désormais s’appuyer sur des prévisions basées sur l’IA et l’apprentissage automatique. Ces améliorations ne sont pas des distractions facultatives ; elles permettent aux infrastructures critiques de rester dans la course. L’opportunité est considérable, à condition que le modèle de sécurité évolue au rythme des technologies qui l’entourent.

Chaque vague d’innovation s’accompagne de changements : nouveau code, nouvelles intégrations, nouveaux fournisseurs, canaux de mise à jour et nouvelles voies d’accès à distance. Avec un plan rigoureux, ces changements peuvent être maîtrisés. Les responsables de la sécurité peuvent définir comment les données circulent, comment les fournisseurs se connectent, comment les mises à jour sont validées et où le contenu est inspecté avant d’atteindre les flux de travail sensibles. Le risque ne réside pas dans l’innovation en soi, mais dans une confiance accordée sans discernement. Chaque nouveau fournisseur et sous-traitant peut créer une nouvelle relation par e-mail, avec des pièces jointes, des factures et des notifications de mise à jour que les utilisateurs sont censés ouvrir. La surface d’exposition s’élargit, tout comme le nombre de points d’entrée par lesquels un élément non fiable peut arriver en prenant l’apparence d’un élément légitime.

Que se passe-t-il donc lorsque la modernisation progresse plus vite que les défenses conçues pour y faire face ? C’est là qu’intervient l’effet cumulatif : même si les capacités des attaquants se figeaient aujourd’hui, la vulnérabilité pourrait continuer à croître, car l’environnement ne cesse de se doter de nouveaux points de connexion. L’IA et l’apprentissage automatique peuvent améliorer la résilience opérationnelle du côté défensif, mais les capacités des attaquants ne montrent guère de signes de ralentissement non plus. L’IA peut accélérer la recherche, le ciblage et l’itération du côté offensif, ce qui fait d’une sécurité planifiée et adaptative un élément de l’innovation responsable plutôt qu’un obstacle à celle-ci.

Rares sont les opérateurs capables de prédire avec exactitude à quoi ressemblera leur propre environnement dans cinq ans ; il se peut donc que l'architecture de sécurité actuelle protège déjà une topologie d'hier. L'objectif n'est pas de freiner l'innovation, mais de veiller à ce que la sécurité évolue de pair avec elle. L'isolation reste importante, mais elle constitue une couche parmi d'autres dans un modèle de résilience plus large, plutôt qu'une solution à elle seule.

Les responsables de la sécurité évaluent souvent une menace en se posant trois questions : l'adversaire a-t-il l'intention, la capacité et l'occasion d'agir ? Pour de nombreux environnements d'infrastructures critiques, la réponse à ces trois questions est de plus en plus souvent « oui ».

• Objectif : Les infrastructures critiques sont délibérément prises pour cible par des acteurs malveillants qui étudient minutieusement leurs victimes, et elles devraient continuer à présenter un intérêt certain, car les gains potentiels justifient l'effort fourni.
• Capacité : les attaques sont de plus en plus industrialisées, l'intelligence artificielle permettant de réduire les coûts liés à la création, aux tests et à la rotation des campagnes.
• Opportunité : la surface d'attaque évolue à mesure que l'innovation relie entre eux des systèmes qui fonctionnaient auparavant de manière autonome, et que les contenus continuent de franchir les frontières qui subsistent.

Derrière ces trois éléments se cache le même principe : les gens continueront à utiliser l'e-mail, car il est indispensable au bon fonctionnement des activités, et les contenus continueront à franchir bon nombre des frontières que nous établissons, car c'est ainsi que fonctionnent les entreprises.

Une stratégie de défense conçue pour cette réalité prend une forme bien identifiable. Elle considère la sécurité des e-mails comme l’un des points d’accès les plus sollicités du périmètre et y consacre les ressources nécessaires, en tant que pilier d’un modèle global. Elle met en place plusieurs niveaux de contrôle à ce point d’accès, chacun remplissant une fonction distincte, afin que le contenu soit inspecté et que le risque soit réduit avant même qu’un lecteur, qu’il s’agisse d’un humain ou d’une machine, n’y ait accès. Elle utilise une analyse assistée par l’IA au sein de la boucle opérationnelle pour accélérer la corrélation, le triage et l’apprentissage à partir des tentatives bloquées, se rapprochant ainsi du rythme imposé par les attaquants. Enfin, elle considère l’amélioration continue comme faisant partie intégrante d’une modernisation responsable, car l’environnement des menaces est en constante évolution.

La question qu’il convient de se poser dans votre propre environnement est simple : lorsque du contenu est acheminé vers les systèmes que vous ne pouvez absolument pas vous permettre de perdre, quel est le dernier point où il est véritablement contrôlé, et ce point serait-il en mesure de détecter un contenu conçu pour paraître sûr et fiable ? Pour de nombreuses organisations, remonter la piste de ce contenu jusqu’à son point d’arrivée initial aboutit souvent au même endroit : la boîte de réception.