Le régulateur US du nucléaire piraté à répétition

Le système d’information du régulateur américain du nucléaire civil a été piraté trois fois au cours des trois dernières années.

Deux des attaques ont été attribuées à des criminels d’origine étrangère, tandis que le que le troisième attaquant n’a pas été identifié, selon le rapport de l’inspection générale obtenue par Nextgov dans le cadre d’une demande d’accès aux informations publiques.

Les systèmes d’information du régulateur américain du nucléaire civil (NRC) contiennent des données de grande valeur, à commencer par la localisation précise et l’état de réacteurs nucléaires, ainsi que les inventaires des usines chargées des matières fissibles liées à l’armement.

Mais les agences américaines n’ont pas l’impératif de rapporter les fuites de données, à moins que l’exposition de données personnelles ne soit prouvée. L’information quant à ces piratages survient neuf mois après que les Etats-Unis ont publié un brouillon de framework sur les standards de sécurité volontairement applicables et visant à améliorer la posture de sécurité des opérateurs d’infrastructures critiques dans le pays.

Selon le rapport du NRC, l’un des incidents a été basé sur une opération de hameçonnage visant à recueillir des identifiants en demandant aux employés visés de vérifier leurs comptes utilisateurs en cliquant sur un lien intégré dans un courrier électronique. Le NRC a nettoyé les postes de travail et mis à jour les profils de ses utilisateurs ayant cliqué sur le dit lien, malgré le programme de formation annuelle dédié au sujet. Les équipes du NRC ont également fait l’objet de tentatives de hameçonnage ciblé, avec des courriels liant vers des logiciels malveillants. Dans un cas, les attaquants sont parvenus à s’infiltrer dans le compte e-mail d’un utilisateur, qui a été utilisé pour envoyer d’autres e-mails malveillants.

Las, remonter à l’attaquant pourrait s’avérer impossible. Le NRC indique que les enquêteurs nommés pour l’affaire ne sont pas parvenus, pour l’heure, à remonter la piste. Surtout, il souligne que les rapports d’activité pertinents ont tous été effacés.

Ce rapport est basé sur une enquête portant sur une compromission potentielle des ordinateurs du NRC entre 2010 et novembre 2013. En tout, sur la période, il faudrait compter environ 17 compromissions et tentatives.

Adapté de l’anglais par la rédaction.