Révélé mi-décembre par la société américaine de cybersécurité FireEye, le piratage SolarWinds est considéré comme la plus grande cyberattaque jamais menée. La campagne d’intrusion a ciblé le gouvernement américain, ses agences fédérales et plusieurs grandes entreprises privées américaines et mondiales. Sécurité Intérieure, Département de la Justice, du Trésor, du Commerce… Nombre d’agences ont été touchées et l’ampleur exacte de ce piratage est pour le moment inconnue.
Crédits photo : Pete Linforth, Pixabay.
SolarWinds : la suite logicielle Orion compromise
SolarWinds, une entreprise qui fournit des outils de gestion des infrastructures informatiques, a reconnu mi-décembre que sa suite logicielle Orion avait été compromise. Selon les analystes, les premières ramifications de l’attaque remontent à septembre 2019, avec l’introduction d’un logiciel malveillant – nommé “SUNSPOT” par la société de cybersécurité CrowdStrike – dans l’environnement de développement d’Orion. “Ce code très sophistiqué et novateur a été conçu pour injecter le code malveillant SUNBURST dans la plateforme SolarWinds Orion sans éveiller les soupçons de nos équipes de développement et de construction de logiciels”, a expliqué le PDG de SolarWinds, Sudhakar Ramakrishna.
Déployé auprès de 18 000 clients de SolarWinds grâce à une mise à jour d’Orion en mars 2020, “Sunburst” a créé une porte dérobée sur les systèmes infectés. Cette attaque sur la chaîne d’approvisionnement a permis aux pirates d’accéder aux réseaux informatiques des entreprises touchées et d’en extraire les données. Le logiciel malveillant Sunburst est passé inaperçu jusqu’à l’annonce de sa découverte, le 8 décembre, par la société FireEye. Alors que l’auteur de la cyberattaque n’a pas encore été défini, les dégâts sont potentiellement considérables, et les profits attractifs pour les cybercriminels : les hackers ont mis en vente des gigaoctects de données volées en ligne, dont les codes sources de Microsoft, les outils de piratage de FireEye ou le fichier client de SolarWinds. Ce premier stock de données est vendu pour la modique somme d’un million de dollars.
Le programme nucléaire militaire américain visé par Sunburst
Les cyberattaquants ont indiqué que d’autres données seraient proposées dans les prochaines semaines. Cette annonce est particulièrement inquiétante lorsque l’on sait que le programme nucléaire militaire américain a été visé par la cyberattaque. Le Département de l’Energie (DOE) et son agence subsidiaire, l’administration nationale la sécurité nucléaire (NNSA), font en effet partie des agences gouvernementales touchées. La National Nuclear Security Administration est responsable de la gestion et de la sécurité des armes nucléaires américaines. Elle s’occupe ainsi du développement des armes nucléaires, des essais non-explosifs, des programmes de réacteurs navals, du transport des armes et composants nucléaires, ainsi que d’autres missions soutenant la sécurité nationale.
Des activités “suspectes” ont notamment été repérées dans les systèmes des laboratoires Sandia et Los Alamos et au Bureau de la sécurité des transports de la NNSA. Les Sandia Labs développent et testent les composants non-nucléaires des armes américaines. Le Los Alamos Scientific Laboratory est pour sa part impliqué historiquement dans le développement des armes nucléaires américaines. Sous la direction de Robert Oppenheimer, il a ainsi conduit le projet Manhattan. Si la porte-parole du DOE a assuré que la cyberattaque “n’a pas eu d’impact sur les fonctions essentielles de sécurité nationale”, il est pourtant légitime d’avoir des craintes quant à l’étendue des dégâts.
S’il est peu probable que les assaillants aient eu accès aux systèmes de défense critiques, souvent très peu interconnectés, d’autres systèmes informatiques contenant des informations classées secret défense ou relatifs à la sécurité nationale ont pu être compromis. L’ampleur des données auxquelles les cybercriminels ont pu accéder est en effet encore loin d’être connue.
La manipulation de l’information, un vecteur de menace direct pour la sécurité des armes nucléaires
Comme nous l’écrivions en 2018, les systèmes d’armes nucléaires, les risques cybernétiques ont introduit de nouvelles vulnérabilités dans les systèmes d’armes nucléaires. Beyza Unal et Patricia Lewis ont ainsi identifié pas moins de 13 zones vulnérables aux cyber-risques, parmi lesquelles les différents systèmes de communication, les données télémétriques des missiles, les cyber-technologies dans les laboratoires et les installations d’assemblage, les informations météorologiques et de ciblage provenant de systèmes spatiaux ou de stations au sol, ou encore les systèmes autonomes robotisés dans l’infrastructure stratégique.
Les armes nucléaires sont particulièrement vulnérables à la contamination et à la manipulation de l’information sur laquelle les décisions nucléaires sont fondées. Que se passerait-il, si un pirate informatique usurpait les systèmes d’alerte pour faire croire à une attaque de missiles nucléaires, déclenchant une frappe de représailles ? Les capteurs et les systèmes d’alerte automatisés peuvent être trompés – ils l’ont déjà été par le passé. Les pirates peuvent aussi accéder directement aux systèmes d’alerte ou de communication pour manipuler, contaminer et corrompre l’information, un risque d’autant plus réel lorsque l’on sait que les attaquants de SolarWinds ont pu accéder aux communications de la Sécurité Intérieure américaine.
Les informations sur lesquelles s’appuient les systèmes nucléaires et leurs opérateurs représentent le vecteur de menace le plus direct, en temps de crise comme en temps de paix. En réalité, le seul fait de savoir que les systèmes nucléaires sensibles pourraient être compromis remet en cause la confiance en ces mêmes systèmes, indépendamment de l’ampleur ou de la nature de l’attaque.
Vers la fin des principes de dissuasion nucléaire
De manière générale, les cybermenaces remettent en question le principe même de dissuasion nucléaire. La question de la capacité des États, voire des groupes non-étatiques, à cibler informatiquement les armes nucléaires et leurs systèmes est une préoccupation croissante. Élément clé des futurs conflits, les cyber-capacités offensives auront pour effet d’augmenter les tensions en temps de crise. Elles pourraient rendre inopérant l’ordre nucléaire et saper la confiance entretenue dans la capacité nucléaire de seconde frappe.
Ce risque en entraîne un autre : craignant de ne plus avoir la possibilité de mener des représailles, les États pourraient se sentir si vulnérables qu’ils mèneraient des actions préventives. Les risques sont d’autant plus grands que plusieurs des États dotés de l’arme nucléaire maintiennent leurs forces nucléaires en état d’alerte permanent, et que les temps de lancement sont de plus en plus réduits. La Russie peut ainsi envoyer un missile en 20 secondes, une minute pour les États-Unis concernant leur composante terrestre. Les décisions sont donc prises sans recul, dans la précipitation.
Le concept de dissuasion nucléaire n’a plus de sens
Le nouvel environnement cyber brouille ainsi les relations nucléaires internationales. Il change la dynamique des conflits et des crises. Il augmente le risque de perception erronée, d’incompréhension et d’erreurs, et le constat est clair : si le risque de conflit nucléaire à grande échelle paraît parfois lointain, les risques d’utilisation, intentionnelle ou non, sont pourtant extrêmement vifs.
Le caractère sacré des normes nucléaires doit aujourd’hui être entièrement réévalué et un débat public ouvert dans chaque État nucléarisé. L’arme nucléaire est inutile face aux menaces du XXIe siècle. La dissuasion nucléaire n’a pas empêché les guerres, le creusement des inégalités, le dérèglement climatique ou la pandémie de Covid. Elle s’est révélée inopérante, disproportionnée et inadaptée pour faire face au terrorisme. Pire, des groupes terroristes comme Al-Qaida ou l’État islamique ont exprimé leur désir d’acquérir des armes nucléaires.
Qu’elle soit minimale, proportionnée, flexible, élargie ou encore étendue, la dissuasion nucléaire, dans ses définitions successives depuis 1945, n’a eu que pour effet de rendre le monde toujours plus dangereux. A l’heure où entre en vigueur le Traité d’interdiction des armes nucléaires (TIAN), il est temps d’en finir avec le terme inepte de dissuasion.
