Comment un hacker a tenté d’empoisonner l’eau courante de 15 000 Floridiens

La petite ville de Oldsmar, en Floride, a échappé de peu à la catastrophe sanitaire. Le 5 février, à 8 heures puis à 13h30, un hacker est parvenu à s’introduire sur le système informatique de la station d’épuration de la ville. Comme le rapporte le journal local Tampa Bay Times, l’individu a pris le contrôle d’un ordinateur à distance, et a commencé à manipuler un logiciel de gestion du traitement de l’eau. Son objectif : multiplier par 100 la concentration d’hydroxyde de sodium dans l’eau. Heureusement, un opérateur présent sur les lieux a repéré la manipulation, et corrigé les paramètres avant même qu’ils soient mis en œuvre. La station d’épuration distribue en eau potable plus de 15 000 habitants de la région.

Un hacker a pris le contrôle de la station d’épuration à distance. // Source : Louise Audry pour Numerama

L’hydroxyde de sodium, connu plus communément sous le nom de soude, est particulièrement corrosif. En petite quantité, elle sert à réguler le potentiel hydrogène (pH) de l’eau en compensant son niveau d’acidité et à éliminer certains résidus de métaux. Mais si elle était en trop grande quantité dans l’eau, se doucher causerait de graves brûlures de peau et des pertes de cheveux, tandis que boire pourrait mener à la mort. Bob Gualtieri, shérif de la police locale, a précisé qu’il ne savait pas si les niveaux de concentration de soude dans l’eau choisis par le hacker étaient suffisants pour causer ce genre de symptômes.

Le logiciel de bureau à distance, porte d’entrée récurrente

Le hacker a pénétré sur le système grâce à TeamViewer, un logiciel de bureau à distance, a précisé Reuters. Ce type de logiciel est couramment utilisé pour faciliter les interventions de maintenance informatique, puisqu’il permet de prendre le contrôle de l’ordinateur depuis un autre appareil. C’est donc la station d’épuration elle-même qui a installé Team Viewer, afin de pouvoir intervenir à distance en cas de problème technique. Mais cet accès est aussi une aubaine pour les hackers : selon les réglages, ils n’ont qu’à deviner ou voler des identifiants pour utiliser le logiciel de bureau à distance. D’après Vice, cette instance de TeamViewer n’était justement protégé que par un mot de passe. Même si méthode utilisée par le pirate pour obtenir l’accès n’est pas encore connue, le résultat est là : il a obtenu un accès complet au système, comme s’il était assis physiquement en face de l’ordinateur. Le tout, sans prendre les risques d’une intrusion sur site.

Cette faiblesse évidente des logiciels de bureau à distance est bien connue des équipes de sécurité. C’est pourquoi il est étonnant que TeamViewer ait été installé sur un système critique. En revanche, la station d’épuration avait pris d’autres précautions, et mis en place des garde-fous. Déjà, un employé était chargé d’observer l’ordinateur, ce qui lui a permis de voir en temps réel la prise de contrôle à distance, et de contacter dans la foulée sa direction et les autorités. Ensuite, même s’il n’avait pas remarqué la manipulation, la station dispose de systèmes d’alerte en cas de modification brutale des paramètres chimiques. Au moment où l’hydroxyde de sodium aurait été déversé, le gestionnaire aurait été prévenu, et aurait pu intervenir.

Le shérif a précisé qu’il n’avait pas encore identifié le malfaiteur, mais qu’il avait des pistes. Quant au motif, ZDNet remarque que Oldsmar se situe à 27 kilomètres de la ville de Tampa, où se tenait le Superbowl dimanche 7 février. Véritable messe annuelle du sport américain, la finale de la ligue nationale de football américain (NFL) concentre l’attention. De son côté, la police locale n’a pas commenté ces suspicions. En revanche, elle a ordonné le contrôle des autres infrastructures de la région.

Le sénateur de Floride Mario Rubio a quant à lui déclaré qu’il souhaitait mobiliser le FBI sur l’enquête. Il insiste : « Ce devrait être traité comme un problème de sécurité nationale ».