Floride : la station d’épuration piratée avait laissé les portes grandes ouvertes aux hackers

Souvenez-vous. Il y a quelques jours, la police de la ville d’Oldsmar en Floride (États-Unis) révélait que des hackers avaient pu pénétrer le réseau informatique d’une station d’épuration afin d’augmenter les niveaux d’un produit chimique qui, à haute dose, s’avère corrosif et donc dangereux pour la santé. Aujourd’hui, nos confrères de The Verge nous informent que cette cyberattaque était en réalité due à un manque cruel de sécurité. Les portes du réseau informatique étaient grandes ouvertes, et n’importe quel ancien employé a pu s’y connecter à l’aide d’un simple mot de passe.

Un manque de sécurité à l’origine de la « cyberattaque »

Lors de leur « cyberattaque« , le(s) « hacker(s) » ont augmenté le taux d’hydroxyde de sodium présent dans l’eau. À haute dose, cet additif, qui sert en temps normal à équilibrer l’acidité, peut s’avérer dangereux puisqu’il a un effet corrosif sur la peau. Heureusement, un technicien présent ce jour-là a constaté les changements en temps réel, et a donc pu intervenir avant que plus d’une dizaine de milliers de personnes ne soient touchées.

Si la police locale et le FBI pensaient initialement qu’il s’agissait d’une cyberattaque relativement bien organisée, de nouveaux éléments mis en lumière lors de l’enquête ont révélé que la sécurité du système informatique de la station d’épuration laissait grandement à désirer. À l’aide d’un simple mot de passe, n’importe quel (ancien) employé aurait pu y accéder et effectuer ces modifications, depuis n’importe quel endroit dans le monde.

En effet, les enquêteurs ont appris que le logiciel de télémaintenance TeamViewer était installé sur le système informatique de la station, alors même que celui-ci n’était plus utilisé depuis six mois. Pire encore, il était accessible à travers un mot de passe unique partagé par tous les ordinateurs et qui n’a jamais été changé. Une simple connexion permettait alors de contrôler tous les niveaux de produits chimiques présents dans l’eau, sans aucune compétence nécessaire en informatique.

Comme le soulignent nos confrères de Vice, cette situation n’est que le reflet amère de ce qui se passe à grande échelle : les infrastructures des services publics sont vieillissantes, n’ont pas assez de budget, d’expertise ou de capacités pour contrôler leurs propres systèmes de sécurité. Dans ce cas précis, la catastrophe a été évitée de peu. Il faut y voir un signal d’alarme, prévenant des éventuels dangers qui nous pendent au nez si ces réseaux informatiques ne sont pas mieux protégés à l’avenir.