C’est la plus grosse cyberattaque contre une infrastructure américaine. Elle touche Colonial Pipeline, le plus gros opérateur d’oléoducs de distribution de carburant raffiné aux États-Unis. L’opérateur a dû couper ses lignes principales car ses systèmes sont neutralisés par un ransomware. Certaines régions pourraient connaître une pénurie de carburant.
Après la cyberattaque massive envers SolarWinds visant à mener des opérations de cyberespionnage, la prise de contrôle d’une infrastructure vitale, comme celle d’une unité de traitement de l’eau, voici que ce sont maintenant les oléoducs de carburant aux États-Unis qui sont ciblés. Ces attaques ont toutes en commun de viser des secteurs stratégiques ou critiques. Cette fois, c’est le plus grand opérateur d’oléoducs, Colonial Pipeline qui a été victime des hackers. Ses 8.800 km de conduites acheminent du carburant raffiné (essence, diesel, kérosène) sur tout le territoire américain. C’est cet opérateur qui fournit 45 % du carburant de la côte Est. Et cette fois, la cyberattaque a eu un impact massif immédiat puisque, lorsqu’elle a été identifiée, l’opérateur a mis hors service plusieurs services essentiels pour atténuer son ampleur. Il ne s’agissait pas cette fois de prendre le contrôle du dispositif ou d’espionner, mais sans doute de neutraliser les installations avec un ransomware qui a chiffré les systèmes de l’opérateur.
Une attaque en attente d’attribution
C’est, à ce jour, l’attaque directe la plus importante ciblant un secteur sensible des États-Unis. Elle pourrait engendrer une pénurie de carburant dans plusieurs États du centre et du sud-est du pays selon les déclarations d’un expert auprès de l’AFP. D’après lui, tout va dépendre de la durée de l’arrêt des systèmes. Si elle dépasse les cinq jours, la pénurie va toucher les stations-services et les aéroports régionaux. Cet arrêt commence déjà à avoir des répercutions sur les cours du pétrole en les augmentant. En attendant, Colonial Pipeline est en train de rouvrir ses canaux de distribution et exploite ses lignes secondaires pour remplacer les principales qui restent fermées.
Pour le moment, personne ne s’est encore aventuré à attribuer officiellement l’attaque. Selon les informations de Reuters, il s’agirait d’un groupe de hackers récent, mais très organisé appelé DarkSide. Ce groupe pratique la double la double extorsion avec une exfiltration des données, puis la menace de les rendre publiques. Sur ses autres attaques, DarkSide cherche habituellement à compromette le contrôleur de domaine, autrement dit, le centre névralgique du réseau. Ensuite, il se déplace dans le réseau avant de déclencher sa charge et de générer l’impact le plus large possible.
Il ne s’agirait donc pas de hackers liés à un État, alors que le mode opératoire par ransomware rappelle celui de NotPetya en 2017. Le ransomware ciblait l’économie ukrainienne pour l’affaiblir et avait touché de grandes entreprises françaises comme Saint-Gobain, Renault ou Auchan. Pour cette attaque, les regards se tournaient alors vers le Kremlin. Dans le cas de SolarWinds, le président Joe Biden a formellement attribué l’attaque aux Russes et a engagé des sanctions contre le pays.