Acteurs de l’eau et cyberattaque : lutter contre certains réflexes, en adopter d’autres

Face à une cyberattaque, lutter contre certains réflexes pour privilégier lucidité et efficacité est crucial, atteste Loïc Corne en charge de la direction des systèmes d’information (SI) de Rives & Eaux du Sud-Ouest. Et il faut rebâtir le SI avec, comme socle, la conviction que l’exceptionnel peut se produire. Guide des réflexes cybersécurité à proscrire et à adopter.

Samedi 9 décembre 2023 : l’arbre de Noël doit réunir les collaborateurs de la Compagnie d’Aménagement des Coteaux de Gascogne (CACG devenue depuis Rives & Eaux du Sud-Ouest) (lien externe, nouvelle fenêtre).

Mais… à 9 h, un collaborateur de l’équipe IT en astreinte constate l’impossibilité de se connecter au système d’information (SI).

Comme pour la cyberattaque subie fin 2022 par l’Office d’équipement hydraulique de Corse (OEHC (nouvelle fenêtre)), un diagnostic rapide permet d’établir la nature de la cyberattaque opérée durant la nuit. Il s’agit là aussi d’un cryptoverrouilleur, soit un logiciel malveillant qui cherche à récupérer des données en quelques minutes et chiffre des fichiers de tout type les rendant inaccessibles. À ce stade, l’ampleur des données exfiltrées (on saura après enquête que 0,1% des données ont été récupérées) et leur nature ne sont pas connues. Les activités de la CACG sont en mode dégradé : la télégestion et la supervision des ouvrages ne sont plus possibles.

1^er réflexe : sécurité et continuité des activités

« Il a fallu très vite après l’attaque organiser l’activité des équipes différemment, relate Loïc Corne, et dépêcher du personnel sur le terrain pour les opérations de maintenance ou de surveillance ». Car la société a la charge de 80 barrages, 250 stations de pompage et 2 500 kilomètres de réseaux de distribution (lien externe, nouvelle fenêtre) sur les 3 500 kilomètres de rivières réalimentées, à travers deux concessions de régions, Occitanie et Nouvelle Aquitaine, et une vingtaine de concessions de service public. Autre mesure de sécurisation prioritaire : alerter les établissements bancaires afin de vérifier et/ ou bloquer les transactions.

2^e réflexe : activer un processus de gestion de crise

Dans l’heure qui suit la découverte de l’attaque, les directeurs se réunissent en cellule de crise exceptionnelle afin d’enclencher un plan d’action. Deux coordinateurs de crise sont nommés et dans l’après-midi le dépôt de plainte auprès de la police et le signalement auprès de la Cnil sont effectués. « Cela déclenche des remontées d’informations auprès de l'office anti-cybercriminalité (OFAC) de la direction nationale de la police judiciaire », indique Loïc Corne.

3^e réflexe : solliciter son réseau

« Nous activons quasi immédiatement notre réseau pour rechercher du soutien, du conseil et identifier ce qu’il convient de faire… et de ne pas faire ». Outre le retour d’expérience d’une entreprise du même secteur d’activité, elle-même victime d’une cyberattaque quelques mois plus tôt, la cellule de crise prend attache avec une société experte en cybersécurité. En parallèle un membre du Codir est désigné médiateur interne pour être l’unique interlocuteur du groupe de hackeurs 8base, démantelé depuis[1]. « Pour récupérer la clé de déchiffrement et éviter une divulgation des données exfiltrées, une demande de rançon (qui ne sera pas payée) nous parvient. Le compte à rebours, évidemment très court pour mettre la pression, était fixé au 19 décembre », partage Loïc Corne. Très vite, l’équipe informatique s’entoure de l’appui d’experts techniques et informe régulièrement le CERT-FR, émanation de l’Agence nationale de sécurité des systèmes d’information (Anssi) (lien externe, nouvelle fenêtre). Un conseil en particulier a marqué Loïc Corne : « travailler en mode papier/crayon et comprendre que c’est un marathon qui s’ouvre : il importe de ne pas s’épuiser pour conserver lucidité et efficacité. »

4^e réflexe : lutter contre la “facilité“

« Toutes les aides reçues furent précieuses pour piloter la crise, réaliser les investigations et la sécurisation complète de notre SI ou encore reparamétrer tous les postes et serveurs en toute sécurité, apprécie Loïc Corne. La décision prise par le directeur général d’opter pour une reconstruction complète du SI plutôt que son rétablissement était la meilleure option. Le recours aux sauvegardes sur bandes magnétiques pour le rétablissement pouvait sembler plus confortable puisque notre dernière sauvegarde remontait à une semaine. Mais une intrusion de ce type comporte un risque : celui de réinstaller un système potentiellement corrompu. »

5^e réflexe : faire circuler les informations

S’ouvre alors une période de trois semaines, durant lesquelles la cellule de crise se réunit deux à trois fois par jour et le Codir quotidiennement. Dès le dimanche soir, le mode de gestion de crise est défini. La circulation des informations y joue un rôle prépondérant avec :

• un groupe d’ambassadeurs, intermédiaire entre le Codir et l’ensemble des salariés, qui joue un rôle pivot dans la coordination des activités ;
• une communication transversale interne, organisée autour d’un affichage papier, dans les différents bâtiments au siège et au sein des agences ;
• le partage avec les experts de l’avancement de l’analyse technique et de la reconstruction du SI ;
• le plan de communication est mis en œuvre à destination des clients, des fournisseurs, de la presse...

« Chaque jour amène son lot d’arbitrages à prendre avec des enjeux forts, avertit Loïc Corne, comme celui de donner la priorité au système de gestion de la paie et à la brique gestion des ouvrages dans le cadre de la reconstruction du SI. » Des décisions à prendre donc mais aussi à expliquer.

6^è réflexe : protéger l’équipe technique

« Durant la phase de crise aigüe, l’équipe technique doit rester concentrée et ne pas s’épuiser. Le recours à un médiateur en charge des relations avec le hackeur aide à cela. L’équipe doit aussi être mise à distance des questions, parfois pressantes, de collaborateurs désireux de retrouver un mode de travail le plus fluide possible. Par ailleurs, être victime de cyberattaque engendre une certaine frustration liée au sentiment d’avoir été faillible et un stress lié à la déstabilisation, explique Loïc Corne. Il faut y être attentif et gérer une forme de boulimie de travail qui peut être contre-productive. Car elle génère de la fatigue et altère par conséquent la lucidité nécessaire à la prise de décision. »

Les réflexes à installer

• « Accepter que l’exceptionnel puisse se produire passe par l’instauration d’un plan de sécurisation du SI. Mais l’anticipation doit être plus globale avec un mode gestion de crise transversal défini en amont », insiste Loïc Corne. Le plan de continuité de l’activité, porté par toutes les directions, englobe donc la dimension communication (institutionnelle, interne, …), la conduite du travail en mode dégradé ou encore les actions à enclencher pour la remédiation[2].
• Faire des collaborateurs le premier “bouclier“ : « instaurer un plan de sécurisation du SI signifie la mise en place de mesures plus contraignantes à la fois pour les collaborateurs et pour l’équipe IT. Par exemple, des profils et des rôles très fins pour octroyer des catégories de droits d’accès, d’utilisation, d’administration, tant pour les personnes que pour les machines ». Autres strates de protection : la sécurisation des accès entrants depuis l’extérieur, limités désormais aux seuls machines et réseaux estampillés Rives et eaux du Sud-Ouest ; l’obligation de choisir des mots de passe complexes, de les renouveler périodiquement ou encore d’accepter les mises à jour requises rapidement. « Autant de mesures à expliquer aux collaborateurs en mettant en perspective les enjeux liés aux activités afin qu’ils deviennent des acteurs investis dans ce premier niveau de protection contre les cyberattaques. »
• Anticiper les nouvelles menaces: « tenir compte de l’évolutivité des menaces est impératif : ainsi notre plan de sécurisation du SI recense près d’une centaine de risques numériques inhérents au métier et déclinés selon cinq axes » tels que le facteur humain, la protection des données, les ouvrages …. Chaque risque est identifié, évalué en termes de probabilité et d'impact, puis lié à une mesure corrective adaptée. « L’intelligence artificielle, formidable outil vecteur de gain de productivité, est aussi une arme surpuissante pour les cyberattaquants et, en parallèle, un bouclier pour les cibles potentielles. Les apports de la technologie, doivent donc faire l’objet d’une réflexion en continu et faire partie de la stratégie de défense », conclut Loïc Corne.

 Secteur de l’eau : état de la menace informatique (lien externe, nouvelle fenêtre)

[1] Europol annonce l’arrestation de 8base, KultureGeek.fr, 13 fev. (lien externe, nouvelle fenêtre) 2025

[2] Sur la remédiation lire les guides Anssi (lien externe, nouvelle fenêtre)