Dans la nuit du 24 au 25 février 2022, l’aluminerie Alouette de Sept-Îles, sur la Côte-Nord du Canada, pourrait avoir été victime d’une cyberattaque. « Il ne serait pas exclu qu’elle soit connectée à la guerre en Ukraine », écrivait le Journal de Québec. Toutes les infections actuelles ne sont pas dues au Covid-19, il existe d’autres raisons d’être souffrant. La direction de la plus grande usine de production d’aluminium en Amérique a indiqué qu’une panne majeure perturbait l’ensemble de ses systèmes informatiques.
« Cette panne semble causée par un incident de sécurité lié à l’intrusion d’un tiers non autorisé », communiquait l’entreprise vendredi matin. Des équipes supplémentaires ont été déployées pour les interventions nécessitant des outils technologiques affectés par cette panne. « Nous remercions d’ailleurs tous les employés et partenaires qui soutiennent nos différentes activités d’opérations avec engagement et de manière sécuritaire. Nous sommes convaincus que la résilience de l’équipe, mainte fois démontrée, nous permettra de traverser cette situation avec succès », affirme ClaudeGosselin, président et chef de la direction. Si toutes les suppositions sont comme un cheval au galop, la possibilité que cette attaque soit liée au conflit en Ukraine ne peut pas être exclue selon certains experts, jusqu’à preuve du contraire.
Des centaines d’entreprises à travers leurs systèmes d’information sont victimes de cyberattaques toutes les semaines, et de nombreuses tentatives d’attaques sont effectuées chaque seconde. La Russie, le Brésil, la Chine, les États-Unis et l’Allemagne sont les pays le plus attaqués aujourd’hui 2 mars 2022 à 10 h 45. (Crédits : capture d’écran/Kaspersky)
« Est-ce une coïncidence que ça arrive en même temps que le conflit ? Penser que soudainement, toutes les cyberattaques de cette semaine, partout dans le monde, seraient directement liées au conflit serait difficile à croire. Mais on ne peut pas exclure que ce soit relié. Il y a certains groupes de cybercriminels qui ont annoncé publiquement leur intention de nuire aux pays qui allaient soutenir l’Ukraine dans le conflit actuel. Tout est sur la table en ce moment », avançait Alexis Dorais-Joncas, chercheur en sécurité chez ESET.
Les recommandations des différents services, comme l’est l’Agence nationale de la sécurité des systèmes d’information (ANSSI), à travers le monde préconise fortement d’augmenter le niveau de protection depuis le début du conflit armé entre l’Ukraine et la Russie. Points d’impact de cyberattaque en temps réel. (Crédits : capture d’écran/Kaspersky)
Une enquête est en cours, et la compagnie ne souhaite plus communiquer en ce sens, mais rassure les différents interlocuteurs : « Avec l’aide de nos consultants experts en cybersécurité, notre équipe des technologies de l’information s’affaire toujours à remettre sur pied l’ensemble des systèmes informatiques qui ont été affectés, selon une stratégie priorisant les équipements de production. Plusieurs des outils informatiques sont à nouveau fonctionnels ou en voie de récupération. »
Il existe dans la mémoire collective des Français des réminiscences de braquages spectaculaires. Celui des 16 et 17 juillet 1976, qui après avoir creusé un tunnel de huit mètres de long, accédait à plus de 300 coffres de la Société Générale de Nice. Le gang des égoutiers dévalisait pour un montant de 46 millions de francs. En 1992, c’est la banque de France à Toulon qui se fait délester de 146 millions de francs (22 millions d’euros). La police ne parviendra qu’à arrêter la moitié des voleurs, ainsi qu’une toute petite partie du butin. Maintenant, ils font du « jackpotting ».
Le braquage avec armes est celui le plus fantasmé au cinéma. Plusieurs noms d’œuvres du septième art surviennent, « Reservoir Dogs », « Inside Man », « Le Clan des Siciliens », « Point Break », « … et pour quelques dollars de plus », « Le Cerveau », sans oublier « La Casa de Papel ». Mais, selon le ministère de l’Intérieur les vols avec armes, c’est-à-dire armes à feu, armes blanches ou par destination, ont diminué sur le territoire, en 2018 et 2019 7 500 sont constatés, pour 6 900 en 2020. Mais l’image d’une personne portant un collant sur le visage, n’est plus. Désormais, celui qui arrache un distributeur de billets (DAB) à l’aide d’une voiture bélier est de l’histoire ancienne.
Une photo du tunnel creusé pour accéder à la salle des coffres de la Société Générale à Nice par le gang des égoutiers, qui cambriola la banque, en juillet 1976, avec à leur tête Albert Spaggiari. Avant d’être un criminel, il s’engagea à 17 ans chez les parachutistes, et part pour l’Indochine française. Il y est blessé deux fois et décoré. (Crédits : STF/AFP)
L’attaque par boîte noire d’un DAB, en anglais « ATM black box attack », est également appelée jackpotting. Cette opération consiste à percer un trou pour accéder à son infrastructure intérieure. Les malfaiteurs déconnectent ensuite le DAB et le relient à un équipement électronique externe, nommé boîte noire. Celle-ci utilise les commandes natives du DAB pour que la machine délivre des billets sans qu’une carte ou une autorisation de transaction soit nécessaire. C’est ce que le distributeur la Banque postale de Simorre, dans le Gers à subit. « Le 2 novembre dernier à 3 heures du matin, deux hommes filmés par la caméra qui surplombe le DAB ont découpé au chalumeau la façade de l’appareil avant d’en prendre le contrôle à distance. La gendarmerie la plus proche étant à une quinzaine de kilomètres et la route départementale traversant Simorre très peu fréquentée la nuit, les hommes cagoulés ont pris tout leur temps pour dévaliser le distributeur », relate Vincent Gautronneau dans Le Parisien. La commune gersoise n’est pas un cas isolé. Les Policiers et gendarmes en ont relevé pas moins de 34 au cours des six derniers mois. « Depuis le début de l’année, 21 enquêtes concernant des attaques par jackpotting ont été ouvertes », spécifie le parquet de Paris.
Le 16 novembre 2021, une tentative de jackpotting a eu lieu dans une succursale d’Argenta à Dessel (province d’Anvers). « Lors d’un jackpotting, des criminels tentent de manipuler l’ordinateur du distributeur automatique de billets pour qu’il libère tout l’argent », a précisé Christine Vermylen, porte-parole d’Argenta. (Crédits : Liese Demeulenaere/HLN)
Déjà en juin 2014, les attaques de type « cash out » ou « jackpotting » survenaient. Europol expliquait que les premiers incidents reliés aux logiciels malveillants de guichet automatique bancaire (GAB) se signalaient en Europe occidentale. Selon les statistiques de l’EAST (Association européenne pour les transactions sécurisées), 51 évènements de ce type avaient été notifiés en 2014. D’après le rapport de European ATM Security, les attaques de boites noires augmentaient en 2016. Europol arrêtait en 2017, 27 individus liés à des attaques dites de boites noires de guichet automatique à travers toute l’Europe. Elles ont eu lieu en République tchèque, en Estonie, en France, aux Pays-Bas, en Roumanie, en Espagne et en Norvège. Les auteurs impliqués proviennent principalement de pays tels que la Roumanie, la Moldavie, la Russie et l’Ukraine.
La mallette du parfait cambrioleur. L’opération conjointe des services de Police de Pologne, d’Allemagne, d’Autriche, de Suisse, de République Tchèque, et Slovaquie ont permis l’arrestation de deux criminels en juillet 2021. (Crédits : Europol)
En France, durant l’année 2020, après un mois de traque, la police judiciaire et la gendarmerie interpellaient simultanément à Colombes, Laval et Nice, plusieurs cybercambrioleurs originaires d’Europe de l’Est. Deux d’entre eux étaient mis en examen et placés en détention provisoire, attendant le procès. Conformément à l’enquête, une filière internationale procédant sur l’ensemble de l’Europe « ciblait des DAB qu’elle dégradait de nuit pour y connecter un dispositif numérique. Elle laissait à un hacker agissant depuis l’étranger la prise de contrôle du logiciel de distribution de billets », précisait le procureur de Paris, Rémy Heitz. Les attaques qui ont eu lieu en Allemagne ainsi que dans d’autres pays à travers l’Europe semblent être produites « par le biais d’un logiciel russe appelé Cutlet Maker », qui, selon Motherboard, peut être acheté pour 1000 dollars (USD). Aux États-Unis, un programme dénommé Ploutus. D serait plus populaire, explique Trust My Science. Une vidéo, réalisée par l’entreprise de sécurité informatique Kaspersky, montre comment s’effectue un jackpotting sur un DAB standard. La chaine You Tube « Tomorrow Unlockeb », by Kasperky propose un documentaire sur ce fléau, avec en vedette Barnaby Jack.
À distance, grâce à des lignes de code, les criminels prennent le contrôle du DAB. Le reste de l’équipe attend devant que ce dernier s’ouvre, et déverse son contenu, sans se vider entièrement, pour ne pas déclencher l’alarme. Une capture d’écran du panneau de commande du logiciel Cutlet Maker. (Crédits : Cryptoinsane/Twitter)
En plein été 2021, les autorités polonaises interpelaient deux individus qui commettaient des attaques de type « boîte noire » contre des DAB. Les malfaiteurs connectaient des appareils électroniques à un distributeur et le forçaient à distance à cracher tout son argent. Les deux suspects, tous deux de nationalité biélorusse, ont été arrêtés à Varsovie le 17 juillet. Les criminels ciblaient en général l’identique marque et le même modèle de DAB. Leurs méthodes étaient toujours la même. Ils accédaient aux fils du DAB en perçant des trous, ou en faisant fondre des parties de celui-ci. Cela leur permettait de connecter la machine à un ordinateur portable qui était ensuite utilisé pour envoyer des commandes de relais qui faisaient que la machine distribuait tout son argent. L’enquête a révélé des dizaines d’attaques dans au moins sept pays européens, pour un montant estimé à 230 000 euros en espèces.
Cela pourrait être un nouveau film à gros budget, mais ce n’est, in fine, qu’une réalité parmi tant d’autres. Dans l’hémisphère sud, c’est le Venezuela qui voit son système électrique puis bancaire attaqué. Tandis qu’en Suisse, des codes malveillants ont ciblé le canton de Vaud. Après la commune de Rolle, c’est la compagnie de navigation sur le Léman qui en fait les frais, ce une semaine avant la cinémathèque suisse qui a subi une agression de type ransomware, en date du 17 septembre 2021.
Tout a commencé le 30 mai 2021, lorsque l’administration de Rolle en Suisse essuyait une infection en bonne et due forme. Les opérateurs du groupe Vice Society sont à l’origine de celle-ci. « Il ne s’agit, en réalité, que d’une faible attaque. Nous avons sollicité l’aide de la Confédération et du Canton, qui nous ont demandé de rester discrets à ce sujet », affirme syndiqueMonique Choulat Pugnale. Elle est cheffe de l’exécutif et responsable de l’informatique de Rolle. De nombreux documents sont mis en ligne sur le Darknet. Des courriels, la planification financière… « On nous a piraté uniquement des mails, et ils ne contenaient aucune donnée sensible sur la Commune », assure-t-elle.
Les données de la commune de Rolle affichées par les opérateurs de Vice Society sont en libre accès. (Crédits : capture d’écran)
Les opérateurs derrière Vice Society ont ciblé pléthores de sociétés :
Au mois d’août, le gymnase de Payerne subit une attaque, avant la compagnie de navigation sur le lac Léman (CGN). « L’attaque n’a duré que quelques jours avant que nous sécurisions le plus rapidement possible notre site internet, indiquait la directrice vente et marketing, Florentine Baron Pailhès. Par souci de précaution, nous avons informé […] par courrier tous les clients qui avaient commandé des billets sur notre site depuis fin avril ». Enfin, c’est la Cinémathèque suisse qui a subi, vendredi 17 septembre 2021 une tentative d’extorsion par ransomware. Ce malgré la sécurité informatique en place et les mises à jour régulières de ses systèmes de pare-feu, spécifie l’institution. Ce qui engendre le blocage de serveurs et la messagerie indisponible.
Fondée en 1948, elle est reconnue par la Fédération internationale des archives du film (FIAF) comme l’une des dix plus importantes au monde. Cela par l’étendue, la diversité et la qualité de ses collections en sa possession. Son siège administratif, ses salles de projection se situent à Lausanne, dans le canton de Vaud. La dernière a immédiatement alerté la Confédération (Centre National pour la Cybersécurité, NCSC) ainsi que la Police cantonale. Une analyse complète de cette intrusion est menée par la société Kudelski pour identifier la faille qui a permis cette attaque. L’étude et le contrôle de l’ensemble du réseau et des serveurs affectés sont toujours en cours.
Attaque terroriste
Le Venezuela détient la première réserve mondiale prouvée de pétrole brut (302,25 Mds de barils, soit 1/5 ème des réserves mondiales) et les 4e de gaz naturel. Le pays dispose également de vastes ressources minières (or, bauxite, fer, nickel, charbon…) et hydrauliques, ainsi que d’un potentiel agricole important. « Nous voulons signaler une nouvelle attaque contre le système électrique national dans le cadre de ce plan de sabotage permanent, qui fait partie de la guerre multiforme que nous recevons constamment », a affirmé Néstor Reverol, ministre vénézuélien de l’Énergie électrique, dimanche soir 12 septembre 2021 à travers des déclarations téléphoniques à la chaîne publique Venezolana de Televisión. Il a indiqué que l’« attaque terroriste » a frappé la sous-station d’Aragua à Santa Cruz, dans la municipalité de José Ángel Lamas, et a provoqué une « perte de charge dans plusieurs États du pays, car il s’agit d’un système interconnecté ». « Nous avons déjà récupéré la charge dans toute la région de la capitale, nous sommes en train de la récupérer complètement dans les États de Zulia, Mérida, Táchira, Nueva Esparta et Falcón, qui ont été partiellement touchés », a-t-il ajouté. Or des pannes d’électricité sont enregistrées depuis 2010, date à laquelle le rationnement a commencé. Elles se sont aggravées en 2019, après une surcharge de la centrale hydroélectrique Simón Bolívar, laissant le pays sans électricité pendant plusieurs jours.
Puis, c’est le système monétaire qui est convoité affirme le gouvernement vénézuélien. Dans un communiqué publié vendredi, la vice-présidence sectorielle de l’économie a indiqué que l’attaque visait spécifiquement la plateforme de Banco de Venezuela S.A., la principale institution du pays, avec l’intention de violer les actifs des clients. « Cette attaque informatique a affecté les activités des usagers de la banque, qui n’ont pu recourir aux services bancaires, effectuer des opérations et disposer de leurs ressources sur leurs comptes […] nous condamnons fermement ces projets terroristes », peut-on lire. Selon la déclaration, le piratage massif « avait pour but de faire disparaître et d’altérer les données bancaires du système financier vénézuélien », mais, ajoute-t-il, le point central de la cyberattaque a été détecté et neutralisé. « Nous avons demandé au ministère public d’ouvrir une enquête pénale approfondie pour trouver les responsables de cette action criminelle contre le système fiduciaire national. Nous veillerons à ce que justice soit faite. »
Attaque mondiale
De plus en plus de médias font publicité des attaques par codes malveillants de type ransomware. Celles dirigées contre des infrastructures étatiques sont quotidiennes. Mais celle qui touchait l’Ukraine, puis le monde entier le 27 juin 2017 est sans commune mesure. Il est 8 h 16, lorsqu’une bombe explose sous le véhicule du colonel Maksim Chapoval, le tuant instantanément. L’officier du renseignement militaire avait été chargé de rassembler des preuves de l’implication russe dans la guerre du Donbass, qui a fait plus de 10 000 morts depuis avril 2014, raconte Numerama. En quelques heures, des lignes de codes malveillantes se répandent de la même manière qu’une traînée de poudre dans les réseaux informatiques du pays, puis à l’étranger comme en France dès 15 h.
Sur les systèmes d’information affectés, un message en lettres rouges annonce que les données importantes des utilisateurs sont cryptées, chiffrées. « Ooops , your important files are encrypted ». Et que moyennant la somme de 300 dollars, elles seraient de nouveau accessibles. (Crédits : DR)
La similitude avec le rançongiciel Petya, apparu en 2016 est flagrante, mais Kaspersky Lab dément très rapidement tout lien entre ce nouveau virus employant l’exploit EternalBlue et les versions Petya. Il devient NotPetya. Il est en fait un wiper, dont le but n’est pas l’extorsion, mais la destruction pure et simple des données informatiques, par effacement. L’état ukrainien avait précédemment enduré deux black-out, l’un en décembre 2015, le second une année plus tard. Existe-t-il une similitude entre l’attaque subie par l’Ukraine et le Venezuela ? L’enquête est en cours…
Déjà en 2019 Pierre Alonso écrivait dans Libération « Pour Caracas, l’auteur est tout trouvé. Il s’agit, sans surprise, des États-Unis, ont répété les responsables vénézuéliens, sans présenter la moindre preuve. Leur soupçon est néanmoins légitime. Washington a un motif. L’administration Trump a reconnu et publiquement soutenu l’opposant, Juan Guaidó. Exacerber le chaos dans le pays, dirigé par Maduro, en le privant d’électricité tend évidemment à affaiblir le président en exercice. L’arme informatique présente l’avantage d’être invisible et difficilement attribuable : l’idéal pour intervenir sans avoir l’air d’y toucher. »
