- il y a 53 minutes
Lundi 26 octobre 2026, retrouvez Benoit Grunemwald (Directeur des affaires publiques, ESET France) dans SMART TECH, une émission présentée par Delphine Sabattier.
Catégorie
🗞
NewsTranscription
00:08Bonjour à tous, bienvenue dans Smartech, vous regardez sur la chaîne Bsmart.
00:12Aujourd'hui c'est le moment où on s'arrête sur une alerte cyber, on va s'intéresser au risque
00:16de sabotage, un risque cyber qui progresse.
00:22L'alerte cyber de Smartech s'arrête aujourd'hui sur une menace cyber grandissante, les sabotages.
00:30On en parle aujourd'hui avec Benoît Grunemwald, bonjour Benoît, qui est connecté avec nous à distance, expert chez EZ,
00:36un fournisseur européen de solutions de cybersécurité.
00:40Alors Benoît, aux assises de la cybersécurité qui ont lieu il y a quelques temps, mais il n'y a
00:44pas si longtemps à Monaco,
00:45le directeur de l'ANSI a prévenu qu'on n'avait encore rien vu en matière de cybercriminalité comparé au
00:53risque de sabotage qui plane sur l'Europe.
00:55Et il a fait référence notamment à l'attaque contre le réseau électrique en Pologne.
01:01Je sais que les équipes des EZ ont travaillé dessus, est-ce que vous pouvez nous rappeler les faits, ce
01:06qui s'est passé ?
01:07Oui, c'est arrivé fin décembre 2025 alors qu'il faisait bien froid.
01:12Cela a eu lieu quasiment jour pour jour, dix ans après une attaque similaire contre un réseau d'électricité en
01:21Ukraine.
01:21Et l'objectif était malheureusement assez simple, c'est de couper l'électricité là en Pologne et notamment parce que
01:30la Pologne a servi, sert de délestage pour l'Ukraine.
01:35Est-ce qu'il y a eu des conséquences, des dégâts très concrètement ?
01:41Dans cette affaire, heureusement non, notamment parce que les équipes ont été très réactives.
01:46La détection s'est bien déroulée.
01:52Et vous le disiez effectivement, nos équipes en fait protègent une partie de ces infrastructures et on a vu assez
01:59vite, notamment grâce à un EDR, quels étaient les logiciels malveillants qui étaient utilisés et aussi les comportements, les intrusions
02:08qui ont été menées pour arriver jusqu'aux points centraux de ces productions d'énergie.
02:15Comment est-ce qu'on s'assure qu'on est face à une cyberattaque finalement, quand on constate des pannes
02:21ou des risques de pannes qui se produisent à différents endroits ?
02:24Parce que je crois que ça a été une attaque qui a été menée aussi sur quatre opérateurs, donc assez
02:29dispersés.
02:30Qu'est-ce que vous pouvez nous dire sur le mode opératoire, ce qui permet d'identifier une cyberattaque et
02:34même des cyberattaquants, un groupe spécifique ?
02:37Pour répondre à la deuxième partie de la question, on a des signatures. Ces signatures correspondent à des tactiques techniques
02:45et procédures.
02:46C'est d'ailleurs référencé de manière publique, on coopère tous ensemble, nous défenseurs, dans différents frameworks, je pense notamment
02:55à Mitre et Attaque.
02:56Et on va décrire quels sont les modes de fonctionnement des différents groupes d'attaquants en fonction de 13 étapes
03:04qui constituent celles qu'ils doivent remplir pour pouvoir arriver à leur fin.
03:09Et ces 13 étapes sont assez normées et on va comme ça pouvoir définir qu'il y a déjà une
03:17reconnaissance, qu'il y a ensuite une première tentative d'accès.
03:22Dans le cas présent, c'était des équipements de bordure qui ont été pris d'assaut, qui ont permis d
03:27'aller plus loin dans le système.
03:29Et puis, ces éléments nous permettent de qualifier non pas une panne technique, comme on peut le voir parfois sur
03:37des grands opérateurs de téléphonie au niveau national ou sur d'autres éléments.
03:43Et là, on voit bien, c'est très caractéristique, que c'est une attaque qui est en cours.
03:50Ces phases-là sont très claires et on arrive ensuite, en fonction de ces différentes phases, à les attribuer.
03:57Alors parfois, et c'est le cas dans cette affaire avec une confiance moyenne pour nous quant à l'acteur
04:04qui serait derrière cette attaque,
04:07Le CERT polonais, lui, a un petit peu plus de niveau de confiance quant à l'acteur, mais on arrive
04:15à reconnaître soit des éléments techniques,
04:17soit des comportements qui font qu'on peut attribuer cette attaque.
04:22Le CERT polonais va le faire avec un grand A, une attribution plutôt à un pays.
04:28Nous, entreprise privée, on va le faire avec un petit A, attribution à des modes opératoires, à des techniques,
04:34ce qui nous amène à l'attribuer à un groupe d'attaquants avec une certaine confiance et non pas un
04:39pays.
04:39Et en l'occurrence, on parle d'un groupe d'attaquants lié à la Russie.
04:44Oui, alors le CERT polonais et nos chercheurs ne sont pas totalement en phase avec qui serait le groupe d
04:52'attaquants.
04:52Par contre, on est aligné sur le fait que c'est pour nous un groupe d'attaquants qui serait aligné
04:56avec les intérêts de la Russie.
04:58Sandworm pour nous, Statik Tundra pour le CERT polonais, des éléments nous permettent d'avoir avec plus ou moins de
05:07confiance justement cette attribution
05:09parce que c'est quand même un acte qui est assez compliqué.
05:13On le voit, un certain nombre d'acteurs, notamment alignés avec les intérêts de la Russie, vont coopérer,
05:20ce qui est assez nouveau dans l'écosystème, on va dire, des attaquants alignés avec les intérêts de la Russie.
05:27Certains vont fournir des accès à certaines entités et puis vont passer la main quand elles vont voir que ces
05:35entités ont un intérêt stratégique
05:37qui dépasse peut-être leur capacité, ce que l'on voit plus facilement dans un écosystème partagé, on va dire,
05:47dans l'écosystème aligné avec les intérêts de la Chine.
05:49Et qu'est-ce que vous pouvez nous dire, juste pour être un peu plus précis peut-être sur le
05:53mode opératoire,
05:54sur le choix qui a été pris par ces attaquants pour s'en prendre au réseau électrique ?
05:59Ils ont utilisé quel type de malware ?
06:01Alors, ils ont tout d'abord réussi à compromettre et à utiliser des vulnérabilités sur des équipements de bordure.
06:09Donc des équipements de bordure, c'est ce qui va permettre d'intégrer le réseau,
06:12ce sont des routeurs, des firewalls, des VPN.
06:14Ceux-ci avaient à la fois une vulnérabilité et des accès VPN sans authentification multifacteur.
06:20L'histoire se répète.
06:22Et une fois entrés dans les réseaux des producteurs d'énergie,
06:28eh bien là, ils ont déployé des logiciels et des logiciels qui sont très spécifiques
06:32et assez spécifiques, notamment aux groupes alignés avec la Russie,
06:36que sont des wipers, donc des logiciels qui visent à complètement effacer
06:41et généralement à rendre inefficace la possibilité de retour en arrière.
06:46Les mécanismes, notamment dans cette affaire, c'est des mécanismes Hitachi
06:52qui servent à piloter la production d'énergie.
06:55Et donc leur objectif était d'installer ces logiciels, de les lancer
07:00et de faire en sorte que les matériels ne soient plus efficaces
07:05et qu'ils puissent même être détruits par leur action,
07:09ce qui pourrait nous rappeler en quelque sorte des objectifs de type Stuxnet
07:12où l'objectif était vraiment de rendre inopérant et impossible à revenir
07:18pour des équipements industriels.
07:20Est-ce que dans cette chaîne d'attaque, l'intelligence artificielle a joué un rôle ou pas du tout ?
07:26C'est assez difficile à dire, en tout cas dans à la fois les tactiques techniques
07:31et procédures liées aux équipements de bordure, nous n'en avons pas repéré spécifiquement
07:36et dans le développement du logiciel, nous n'avons pas non plus de marqueurs
07:41qui nous permettent avec une très grande certitude d'affirmer
07:44qu'il y a l'utilisation de l'intelligence artificielle.
07:48Certainement que celle-ci a été utilisée dans l'étude des matériels.
07:53Donc a priori, parce que quand on est sur des matériels aussi pointus
07:58et parfois difficiles à obtenir,
08:02même si on est aligné avec les intérêts d'un gouvernement,
08:05il peut être difficile d'avoir chez soi des machines énormes
08:09qui vont nous permettre de piloter des fermes d'éoliennes
08:12et ou de la production solaire.
08:13Donc il faut étudier avec une très grande précision le fonctionnement de ces OT,
08:20des objets industriels, objets connectés industriels.
08:23Et donc là, l'intelligence artificielle, malheureusement, prend tout son sens
08:27pour analyser des fonctionnements des documents techniques
08:33et comprendre comment aller soi-même ensuite les piéger.
08:36Alors Mathieu Tartare, qui est un chercheur chez EZ,
08:40il a présenté une étude sur les campagnes APT
08:44qui met en évidence un espionnage persistant.
08:47L'espionnage, ça reste la menace numéro invisiblement aujourd'hui
08:51devant la menace des sabotages, c'est toujours le cas ?
08:54Dans notre télémétrie, c'est-à-dire l'analyse que l'on fait
08:57des différentes attaques au niveau mondial.
09:02Effectivement, l'espionnage est en première place devant le sabotage
09:08et cela tient principalement au fait que l'espionnage est mené
09:12par des groupes qui sont alignés avec les intérêts de la Chine
09:15et ces groupes ont pour objectif de mener des campagnes
09:20qui leur permettent de se positionner dans des entités
09:23pour mener des études quant à leur capacité de négociation,
09:29par exemple, aux nouvelles routes de la soie,
09:31savoir qui opère, comment opère, quelle est la marge de manœuvre
09:35que l'on peut avoir commercialement dans telle ou telle avancée.
09:40Les affaires liées au sabotage sont majoritairement issues
09:46de groupes alignés avec la Russie
09:49et effectivement, en quantité, chez nous, elles sont moins importantes.
09:54Et ce risque lié au cyberespionnage,
09:58on le voyait auparavant principalement dans des zones géographiques
10:02qui étaient celles proches du territoire chinois.
10:06Aujourd'hui, on les voit beaucoup plus liées avec la stratégie de la Chine,
10:12c'est-à-dire finalement une portée mondiale, dont l'Europe.
10:15Oui, c'est-à-dire que ces espionnages ciblent les gouvernements européens ?
10:20Les entités européennes, qu'elles soient gouvernements
10:23ou entreprises privées ayant des intérêts stratégiques
10:27liés à l'expansion stratégique, elles aussi, de la Chine.
10:30Et alors, comment vous voyez les choses se dérouler là ?
10:33Je ne vous demande pas de nous lire une boule de cristal,
10:35mais quelles sont les perspectives aujourd'hui en matière de cyberdéfense
10:38face au risque de sabotage, pour revenir à notre sujet de départ ?
10:43Il est clair que, et quand on repense à Danfoss,
10:48l'attaque qui s'est produite récemment sur les équipements
10:51qui servent à gérer les frigos industriels,
10:54il est clair qu'il y a un niveau à reprendre,
10:59pas forcément sur ce que l'on appelle, ou ce que l'on appelait,
11:02ou ce qu'on aimerait appeler les OIV, couverts par Nice 1,
11:06mais bien les entités importantes, les entités essentielles,
11:09que Nice 2 couvrira très prochainement, j'imagine.
11:14L'idée, c'est bien que tous les acteurs qui sont à la fois dans un monde industriel
11:20et un monde de services montent leur niveau de protection
11:24pour éviter que ce type d'attaque puisse réussir.
11:29Merci beaucoup, Benoît Grunemval.
11:31Je rappelle que vous êtes expert en cybersécurité pour EZ France.
11:35Merci à tous de nous avoir suivis.
11:38C'était un Smartech spécial cyber aujourd'hui.
11:41On se retrouve dès demain.
11:42En attendant, je vous souhaite une excellente journée à tous.
11:45à très bientôt.
Commentaires