Pourquoi nos centrales nucléaires ne sont pas à l'abri des cyberattaques

Ce rapport émane de Chatham House, un groupe de réflexion britannique non gouvernemental. Il s'appuie sur 18 mois d'enquête auprès d'experts de plusieurs pays, dont la France, comme ceux de l'Agence internationale de l'énergie atomique (IAEA).

Et ce rapport fait froid dans le dos. Il pointe le fait que nos centrales nucléaires ne seraient pas à l'abri d'une éventuelle cyberattaque précisément… parce qu'elles se croient à l'abri.

De plus en plus connectées

Les centrales sont des installations anciennes qui datent d'une époque où l'informatique était peu répandue. Elles sont donc d'origine peu informatisées et on les a longtemps considérés comme hors du risque informatique car elles étaient en dehors d'Internet. Mais aujourd'hui Chatham House parle d'un "mythe".

En effet, les centrales ont mis en place, petit à petit, des points de communication avec l'extérieur. Ces points sont utilisés notamment par des sous-traitants. Cela représenterait un risque réel d'intrusion. Le spécialiste de la sécurité informatique Kaspersky en remet en une couche en insistant sur la vulnérabilité des postes de travail avec des logiciels pas suffisamment mis à jour.

C'est ainsi qu'en 2003, une centrale américaine, Davis-Besse, avait été infectée par le ver Slammer. On se rappelle aussi le virus Stuxnet créé par la NSA pour détraquer à distance les centrales iraniennes (celui-ci avait été introduit par clé USB, ce qui est également possible).

Des risques variés

Dans le film Hacker , de Michael Mann, des cyberterroristes font exploser une centrale nucléaire après l'avoir piratée à distance. C'est le genre de scénario catastrophe que l'on imagine immédiatement. Mais le rapport britannique évoque aussi d'autres menaces comme des "hacktivistes" antinucléaires qui pourraient s'introduire à distance dans une centrale pour faire pression sur un Etat.

Les auteurs pointent plusieurs faiblesses : manque de formation, absence de normes réglementaires, manque de budget et surtout absence de culture de la cybersécurité.  Bref, il parait urgent de repenser la stratégie informatique des centrales nucléaires sous l'angle de la sécurité.