Face à un ransomware, l’un des principaux opérateurs de pipeline aux US arrête son informatique

Ce samedi 8 mai, Colonial Pipeline, reconnaissait avoir été victime d’une cyberattaque. Celui-ci opère un pipeline de carburant essentiel aux États-Unis, transportant près de la moitié des carburants consommés sur la Côte Est du pays, et s’étendant du Texas au New Jersey.

Dans un communiqué de presse, Colonial Pipeline expliquait initialement avoir « proactivement déconnecté certains systèmes afin de contenir la menace, ce qui a temporairement interrompu les activités du pipeline et affecté certains systèmes IT ». Ce dimanche 9 mai, dans un nouveau communiqué, l’opérateur explique que ses personnels ont pris de nombreuses mesures de prudence « pour aider à superviser et protéger la sûreté et la sécurité du pipeline ». Il explique en outre que ses « équipes opérationnelles développent un plan de relance du système ». Les lignes principales étaient alors encore déconnectées, mais « des lignes latérales plus petites entre terminaux et point de fourniture sont désormais opérationnelles ».

Pas question, toutefois, d’avancer à ce stade, de date de reprise complète de l’activité : « nous relancerons pleinement notre système uniquement lorsque nous penserons qu’il est sûr de le faire, et en conformité avec les approbations des réglementations fédérales ».

Selon nos confrères du Washington Post, la cyberattaque a impliqué le déploiement et la détonation du ransomware Darkside. Et diverses sources indiquent que plus de 90 Go de données auraient été dérobés à l’occasion de l’attaque. Ce volume apparaît relativement limité, mais guère surprenant pour Darkside : les cybercriminels l’utilisant montrent régulièrement qu’ils sont très inégaux en niveaux de compétences.

Dans certaines opérations, certains parviennent à exfiltrer des centaines de giga-octets de données ; d’autres se contentent de quelques dizaines. À peine plus de 30 Go de données avaient ainsi été volés au Français Wonderbox ou à OMV System France. Mais pour Copel, les attaquants ont revendiqué le vol de plus de 1 To de données, dont des données liées au déploiement CyberArk ou encore l’intégralité des données d’annuaire.

De leur côté, les opérateurs du rançongiciel Darkside ont implicitement reconnu l’implication de celui-ci dans l’attaque. Sur le site Web où ils mettent à l’index leurs victimes ayant refusé de céder au chantage, ils ont publié une note précisant ne pas s’immiscer dans la géopolitique : « inutile de nous lier à un gouvernement précis ou de chercher bien loin nos motivations. Notre but est de gagner de l’argent, pas de créer des problèmes pour la société ». Manifestement échaudés, et vraisemblablement inquiets du risque de trop attirer l’attention des autorités de leurs pays d’origine, ils ajoutent prévoir désormais de jouer les modérateurs et de vérifier chaque cible visée.