L'IA a supprimé la dernière excuse pour une sécurité OT défaillante

Pendant des décennies, la technologie opérationnelle (OT) qui fait fonctionner les centrales électriques, les usines de traitement des eaux, les hôpitaux et les réseaux de télécommunications reposait sur une défense tacite : personne en dehors d'un petit cercle d'ingénieurs ne comprenait comment ces systèmes fonctionnaient. Des protocoles obscurs, du matériel propriétaire et des logiciels spécifiques aux fournisseurs créaient une barrière de connaissances qui tenait la plupart des attaquants à l'écart, non pas parce que les systèmes étaient sécurisés, mais parce qu'ils étaient déroutants.

Cette barrière a disparu. Selon des reportages récents sur l'état de la sécurité OT, les outils d'IA ont permis aux criminels de comprendre et d'exploiter ces boîtes noires autrefois impénétrables sans avoir besoin d'années de formation spécialisée. Le concept de sécurité par l'obscurité, l'idée qu'un système reste sûr simplement parce que son fonctionnement interne est difficile à déchiffrer, ne tient plus lorsqu'un modèle d'IA peut faire ce déchiffrage à votre place.

Pourquoi l'obscurité n'a jamais été une véritable stratégie de sécurité

La sécurité par l'obscurité fonctionnait comme un sous-produit de la complexité, et non comme un choix de conception intentionnel. Les environnements OT n'ont jamais été conçus avec la même rigueur de sécurité que les réseaux informatiques modernes. Ils ont été conçus pour fonctionner de manière fiable pendant des années, parfois des décennies, souvent sans trop réfléchir à ce qui se passerait si une personne mal intentionnée y accédait.

Ce qui maintenait ces systèmes en sécurité n'était pas une authentification forte ni un chiffrement. C'était le simple fait que très peu de personnes, y compris de nombreux spécialistes informatiques, savaient interpréter les protocoles propriétaires et le matériel hérité impliqués. Les pirates qui voulaient cibler des systèmes OT avaient besoin de connaissances approfondies et spécialisées qui prenaient des années à acquérir. Cette exigence agissait comme un filtre naturel, maintenant le bassin d'attaquants capables à un niveau restreint.

L'IA a effectivement effacé ce filtre. Les attaquants n'ont plus besoin d'être eux-mêmes des experts en OT. Ils peuvent utiliser des outils d'IA pour analyser, interpréter et faire de l'ingénierie inverse sur des systèmes qu'un spécialiste humain aurait mis des mois à comprendre. Cela signifie que la population de personnes capables de mener une attaque destructrice contre des infrastructures critiques s'est considérablement élargie, même si les vulnérabilités sous-jacentes de ces systèmes n'ont pas changé du tout.

Pourquoi cela importe au-delà de la salle des serveurs

Il est facile de considérer la sécurité OT comme un problème pour les entreprises de services publics et les fabricants, et non comme quelque chose qui touche la vie quotidienne. Mais les attaques contre les infrastructures critiques ont tendance à atteindre directement les consommateurs. Les réseaux électriques, les systèmes d'eau, les hôpitaux et les fournisseurs de télécommunications reposent tous sur des fondations OT, et les perturbations de l'un d'entre eux se répercutent sur la vie quotidienne : procédures médicales annulées, pannes prolongées, services d'urgence retardés et communications interrompues.

Le même schéma qui rend l'IA dangereuse pour les systèmes OT s'applique également aux logiciels courants dont dépendent de nombreuses organisations. Lorsqu'un outil largement utilisé présente une faille de sécurité, les attaquants agissent rapidement, et de plus en plus, ils n'ont pas besoin d'une expertise approfondie pour le faire. L'exploitation rapide observée après la divulgation de vulnérabilités, comme la réponse d'urgence requise lorsqu'une vulnérabilité zero-day de PaperCut a été exploitée, montre à quelle vitesse les attaquants tirent parti des faiblesses une fois qu'elles sont identifiées, que ce soit par la recherche humaine ou la découverte assistée par IA.

Alors que l'IA abaisse le niveau technique requis pour attaquer des systèmes obscurs, les organisations qui exploitent des infrastructures critiques sont poussées vers la même leçon que l'informatique d'entreprise a apprise il y a des années : la sécurité doit être intégrée à l'architecture elle-même, et non présumée parce qu'un système est difficile à comprendre.

Ce que cela signifie pour vous

La plupart des lecteurs ne sont pas responsables de la sécurisation d'un réseau électrique ou du réseau OT d'un hôpital, mais le recul de la sécurité par l'obscurité vous affecte quand même. Lorsque les fournisseurs d'infrastructures critiques sont touchés, les effets se manifestent sous forme de pannes de service, de perturbations de facturation, de soins retardés ou de données personnelles exposées collectées par ces organisations. Vous êtes une partie prenante en aval de chacun de ces systèmes, même si vous n'interagissez jamais directement avec la couche OT.

Sur le plan personnel, la tendance générale compte aussi. L'IA abaisse la barrière de compétences pour les attaquants à tous les niveaux, pas seulement dans les environnements industriels. Les tentatives d'hameçonnage sont plus convaincantes, les logiciels malveillants sont plus faciles à personnaliser et la reconnaissance sur des cibles individuelles est plus rapide que jamais. L'obscurité qui protégeait autrefois les utilisateurs ordinaires, avoir une petite empreinte numérique, utiliser des logiciels moins courants ou simplement ne pas être une cible évidente, s'érode de la même manière que pour les systèmes OT.

Étapes pratiques dans un paysage de menaces piloté par l'IA

Vous ne pouvez pas corriger une centrale électrique, mais vous pouvez réduire votre propre exposition et exiger des responsabilités de la part des services dont vous dépendez.

  • Utilisez un VPN et des connexions chiffrées lors de l'accès à des comptes sensibles, en particulier sur des réseaux partagés ou publics, pour limiter ce que les attaquants peuvent observer ou intercepter.
  • Maintenez les logiciels et micrologiciels à jour rapidement, car les attaquants assistés par IA agissent vite une fois qu'une vulnérabilité devient publique.
  • Activez l'authentification multifacteur partout où elle est proposée, car elle reste l'une des rares défenses que les devinettes pilotées par l'IA ne peuvent pas facilement contourner.
  • Prêtez attention aux notifications de violation et de panne des services publics, des prestataires de soins de santé et des entreprises de télécommunications que vous utilisez, et suivez les étapes recommandées si vous êtes affecté.
  • Soutenez et renseignez-vous sur la segmentation du réseau et les contrôles d'accès lors de l'évaluation de tout appareil domotique ou connecté, car les systèmes isolés limitent la distance qu'un attaquant peut parcourir même s'il parvient à entrer.

La sécurité par l'obscurité n'est plus une solution de repli viable pour quiconque, des opérateurs de services publics aux utilisateurs individuels. L'IA a rendu trop facile la cartographie, l'interprétation et l'exploitation de systèmes qui reposaient autrefois sur le fait d'être mal compris. Les organisations qui s'adaptent en construisant de véritables contrôles de sécurité, plutôt qu'en espérant que leurs systèmes restent cachés, seront bien mieux positionnées pour résister à ce qui vient ensuite.