258 organisations américaines du secteur de l’eau voient leurs identifiants exposés à des voleurs d’informations.

SpyCloud a découvert des identifiants volés liés à des systèmes OT et d’accès à distance dans des services publics d’eau américains, révélant ainsi une autre voie potentielle pour les attaquants.

Les services de distribution d’eau américains doivent déjà se préoccuper des attaques de pirates informatiques ciblant les équipements industriels connectés à Internet. Le vol d’identifiants d’employés et de fournisseurs pourrait offrir aux attaquants une nouvelle porte d’entrée.

SpyCloud indique que 1 787 organisations liées au secteur américain de l’eau et des eaux usées présentent une exposition à des logiciels malveillants voleurs d’informations, dont 258 avec des identifiants compromis associés à la technologie opérationnelle ou aux systèmes d’accès à distance.

Bien que la recherche confirme la principale thèse des avertissements du FBI et de la CISA, elle n’établit pas de lien entre ses conclusions et les acteurs nommés dans le rapport du FBI.

Néanmoins, ce contexte met en lumière un grave problème de sécurité. Des incidents récents montrent à quel point les systèmes industriels peuvent être vulnérables aux attaques ciblées, tandis que le vol d’identifiants ouvre une voie d’accès supplémentaire.

Une infrastructure ; de multiples canaux d’attaque

En juillet, le FBI et l’Agence de protection de l’environnement (EPA) ont publié un communiqué d’intérêt public signalant que des acteurs malveillants ciblent de plus en plus les réseaux d’eau potable américains dans plusieurs États afin de provoquer des perturbations. Ce communiqué mentionnait une attaque contre des systèmes connectés à Internet et leurs contrôleurs, une technique similaire à celle utilisée lors d’une précédente attaque contre des systèmes de jaugeage de carburant .

Mais les attaques directes contre les systèmes industriels exposés ne sont pas la seule voie d’accès à ces organisations.

Dans son rapport du 20 septembre, SpyCloud a constaté que la menace s’est étendue au vol d’identifiants. Après avoir analysé 10 000 organisations liées au secteur américain de l’eau et des eaux usées , SpyCloud a découvert que 1 787 d’entre elles étaient exposées à des logiciels malveillants voleurs d’informations.

Plus inquiétant encore, SpyCloud a identifié 258 organisations dont les identifiants associés aux systèmes OT ou d’accès à distance ont été exposés. Si ces identifiants restent valides, ils pourraient offrir aux attaquants une voie d’accès aux systèmes gérant les opérations physiques liées à l’eau, étendant ainsi le risque au-delà des comptes d’employés compromis.

D’après les recherches de SpyCloud, cette exposition peut commencer par l’infection d’un appareil d’un employé ou d’un fournisseur, notamment par le biais d’hameçonnage ou d’identifiants obtenus lors de précédentes violations de données.

Le risque lié au fournisseur rend cette vulnérabilité nouvellement découverte plus difficile à contenir. SpyCloud a indiqué avoir découvert un appareil infecté appartenant à un fournisseur de technologies de comptage d’eau non identifié, contenant des identifiants associés à environ 167 entreprises de services publics américaines. Cela signifie qu’une seule faille de sécurité chez un tiers pourrait permettre l’accès à de nombreux services publics différents. 

Le risque ne se limite pas aux mots de passe. Selon SpyCloud, les infections par des logiciels espions peuvent exposer des éléments d’authentification tels que les jetons de session, permettant potentiellement aux attaquants de détourner une session déjà authentifiée sans déclencher une nouvelle authentification multifacteur.

C’est important car l’authentification multifacteur (MFA) ne peut à elle seule empêcher toute usurpation d’identité. Les systèmes de sécurité ont également besoin de contrôles capables de détecter les sessions volées, les connexions inhabituelles, les terminaux compromis et les accès non autorisés aux systèmes sensibles.

Pourquoi les perturbations opérationnelles constituent une cybermenace différente

Le vol d’identifiants est dommageable pour toute organisation, mais les conséquences changent lorsque les comptes compromis donnent accès à la technologie opérationnelle.

Les services de distribution d’eau dépendent de systèmes interconnectés pour surveiller et contrôler des processus tels que le pompage, le traitement, la pression et la distribution. Un attaquant qui s’introduit dans ces environnements à partir d’une identité compromise pourrait potentiellement perturber les opérations physiques plutôt que de simplement voler des données.

C’est pour cette raison que le FBI et d’autres agences fédérales ont insisté à plusieurs reprises sur la protection des systèmes industriels connectés à Internet et la limitation de l’accès à distance aux infrastructures critiques .

Cela rend les perturbations opérationnelles — et la nécessité de les prévenir — beaucoup plus graves.

Que peut-on faire ?

Aucun service ne peut éliminer toutes les compromissions d’identifiants. L’objectif le plus réaliste est d’empêcher qu’un compte volé ou un appareil infecté d’un fournisseur ne devienne une porte d’entrée vers les systèmes opérationnels, et de maintenir la continuité des services essentiels en cas d’intrusion.

Pour atténuer ces risques, les services publics critiques devraient mettre en œuvre les mesures de défense suivantes :

• Lorsque l’accès à distance est nécessaire, exigez l’authentification multifacteur pour les comptes fournisseurs et de maintenance, et utilisez des méthodes résistantes au phishing lorsque cela est possible.
• Former les employés aux meilleures pratiques en matière de cybersécurité, notamment à la détection des attaques de phishing.
• Les organisations doivent vérifier régulièrement leurs bases de données d’identifiants afin de détecter les fuites d’identifiants et de données que les attaquants pourraient utiliser pour d’autres attaques.
• Segmentez les réseaux IT et OT et n’accordez aux comptes que l’accès dont ils ont réellement besoin, limitant ainsi la portée des actions d’un attaquant après la compromission d’un compte.
• Surveillez les connexions à distance et les activités inhabituelles des comptes , assurez la mise à jour des systèmes et maintenez un inventaire à jour des actifs connectés, y compris les systèmes tiers.
• Préparez-vous à toute compromission grâce à des plans de réponse aux incidents, de redondance et de reprise éprouvés afin de maintenir le fonctionnement des processus critiques en cas de violation des systèmes connectés.

L’authentification multifacteur (MFA) demeure une protection importante, mais les sessions volées, les terminaux compromis et l’accès par des tiers peuvent contourner les protections au niveau du compte. Pour les services de distribution d’eau, l’objectif principal est le confinement : une identité volée ne doit pas permettre d’accéder aux systèmes contrôlant les pompes, les processus de traitement ou la distribution d’eau.

Les conclusions de SpyCloud confirment pourquoi la sécurité des identités et la sécurité des technologies opérationnelles ne peuvent plus être considérées comme des problèmes distincts. Protéger l’infrastructure implique de plus en plus de protéger les identifiants qui y donnent accès.

https://www.esecurityplanet.com/trends/news-us-water-systems-stolen-credentials-ot-security