Cybermenaces contre le PV (3/10) : les attaques par compromission d’identifiants et comment elles fonctionnent

Les cyberattaques par compromission d’identifiants constituent une catégorie majeure de menaces cyber ciblant les systèmes numériques et cyber-physiques qui reposent sur un accès sécurisé pour maintenir le contrôle et la visibilité. Dans les systèmes photovoltaïques, où les opérateurs dépendent de plateformes de supervision à distance, d’interfaces SCADA et d’appareils connectés au cloud, des identifiants compromis peuvent fournir aux attaquants un accès direct et persistant à des infrastructures critiques.

Ces attaques consistent à obtenir des noms d’utilisateur et mots de passe légitimes grâce à des techniques telles que le phishing, les attaques par force brute, le credential stuffing ou l’exploitation de pratiques d’authentification faibles. Contrairement aux attaques par déni de service qui submergent les systèmes, les attaques par compromission d’identifiants permettent aux adversaires d’usurper l’identité d’utilisateurs autorisés, contournant les barrières de sécurité traditionnelles. Par conséquent, les opérateurs peuvent ne pas se rendre compte qu’un accès non autorisé a été établi.

Les attaques par compromission d’identifiants peuvent cibler les systèmes photovoltaïques et les centrales solaires en infiltrant les plateformes de supervision, les interfaces de gestion des onduleurs, les passerelles ou les systèmes SCADA. Une fois à l’intérieur, les attaquants peuvent modifier les paramètres du système, désactiver des protections, manipuler les paramètres de production ou interrompre les flux de communication. Dans certains cas, les attaquants peuvent établir une persistance, maintenant un accès à long terme sans être détectés.

Ces attaques peuvent également provoquer indirectement des contraintes physiques sur les composants du système tels que les onduleurs ou les transformateurs en modifiant les paramètres de contrôle ou en retardant les réponses aux défauts. En outre, elles peuvent entraîner une réduction de la production d’énergie, une augmentation des coûts de maintenance et des risques pour la sécurité du personnel s’appuyant sur des données inexactes ou manipulées.

« Les attaques basées sur les identifiants sont la première cause d’intrusion cyber. Il s’agit vraiment des bases. Si votre mot de passe est faible, une intelligence artificielle peut être capable de le deviner. Et si vous réutilisez le même mot de passe sur plusieurs systèmes, une fois qu’il est exposé, tout tombe comme des dominos », insiste Uri Sadot, directeur général de SolarDefend et président du groupe de travail Digitalisation de SolarPower Europe, auprès de pv magazine.

Modes opératoires

Les attaques par compromission d’identifiants peuvent fonctionner de plusieurs manières selon l’approche de l’attaquant. Les attaques basées sur le phishing incitent les utilisateurs à révéler leurs identifiants via de fausses pages de connexion ou des courriels malveillants. Les attaques par force brute et par credential stuffing (bourrage d’identifiants) tentent de deviner systématiquement les informations de connexion, souvent en utilisant des identifiants précédemment divulgués provenant d’autres plateformes. Dans des scénarios plus avancés, les attaquants peuvent exploiter des protocoles d’authentification faibles ou des failles de gestion de session pour détourner des sessions utilisateur actives.

Pour les systèmes photovoltaïques, une attaque par compromission d’identifiants commence souvent par le ciblage du personnel tel que les opérateurs, les équipes de maintenance ou les administrateurs ayant accès à des plateformes critiques. Les attaquants peuvent envoyer des courriels de phishing ou rechercher des portails de connexion exposés reliés aux onduleurs, aux passerelles ou aux systèmes de supervision basés sur le cloud. Une fois des identifiants valides obtenus, les attaquants peuvent se connecter en tant qu’utilisateurs légitimes sans éveiller immédiatement de soupçons.

Les techniques courantes dans les environnements photovoltaïques incluent l’exploitation de la réutilisation des mots de passe, l’absence d’authentification multifacteur et des interfaces d’accès à distance mal sécurisées. Dans les flottes solaires distribuées, les attaquants peuvent cibler des plateformes de gestion centralisées, accédant à plusieurs sites via un seul compte compromis.

Une fois l’attaque en cours, les opérateurs peuvent remarquer un comportement inhabituel du système, des modifications de configuration non autorisées ou des anomalies de données inexpliquées. Dans de nombreux cas, cependant, les attaques par compromission d’identifiants restent indétectées pendant de longues périodes, permettant aux attaquants de maintenir le contrôle et d’étendre leur accès à travers des systèmes interconnectés.

Défense

Une défense possible contre les attaques par compromission d’identifiants dans les systèmes photovoltaïques consiste à mettre en œuvre des mécanismes d’authentification forts, y compris l’authentification multifacteur, ce qui réduit considérablement le risque d’accès non autorisé. L’application de politiques de mots de passe robustes et l’élimination de la réutilisation des mots de passe sont également des étapes essentielles pour sécuriser les points d’accès.

Les systèmes de gestion des identités et des accès peuvent aider en appliquant un contrôle d’accès basé sur les rôles, garantissant que les utilisateurs ne disposent que des autorisations nécessaires à leurs tâches. Cela limite l’impact potentiel d’un compte compromis. De plus, la surveillance continue des activités de connexion peut aider à détecter des comportements suspects, tels que des localisations de connexion inhabituelles ou des tentatives répétées échouées.

La segmentation du réseau peut encore réduire les risques en isolant des composants critiques tels que les onduleurs, les systèmes SCADA et les plateformes de supervision, empêchant les attaquants de se déplacer latéralement dans le système après avoir obtenu un accès. Toutefois, si les mécanismes d’authentification restent faibles aux points d’entrée, les attaquants peuvent toujours infiltrer des systèmes clés.

Les systèmes de détection d’intrusion et les plateformes de gestion des informations et des événements de sécurité peuvent également aider à détecter les attaques par compromission d’identifiants en identifiant des anomalies dans le comportement des utilisateurs, les schémas d’accès ou les interactions système. Ces outils fournissent des alertes précoces mais doivent être combinés à des mécanismes de réponse automatisés pour contenir efficacement les menaces.

La formation des utilisateurs à la sensibilisation constitue une autre couche de défense essentielle, aidant le personnel à reconnaître les tentatives de phishing et à adopter des pratiques sécurisées en matière d’identifiants.

Authentification continue

En résumé, les attaques par compromission d’identifiants représentent un risque sérieux pour les systèmes photovoltaïques, affectant principalement leur intégrité, leur confidentialité et leur contrôle opérationnel. Contrairement aux attaques axées sur la disponibilité, ces menaces permettent aux attaquants de manipuler directement le comportement du système tout en restant indétectés.

Bien que des mesures telles que l’authentification multifacteur, des politiques de mots de passe robustes, le contrôle des accès, la surveillance et la formation des utilisateurs puissent réduire considérablement les risques, aucune solution unique n’est suffisante à elle seule. Les systèmes doivent être conçus avec une surveillance continue de l’authentification et des capacités de réponse rapide.

Cette approche permet non seulement de maintenir des opérations système sécurisées mais aussi de limiter la capacité de l’attaquant à persister dans l’environnement ou à étendre son contrôle à plusieurs actifs.

« Pour sécuriser les infrastructures photovoltaïques contre ces attaques, vous devez gérer vos identifiants d’accès à distance de la même manière qu’un compte bancaire gère les clés de son coffre. Cela peut sembler complexe mais ce ne l’est pas vraiment. Utilisez des mots de passe uniques pour chaque point d’accès et gardez-les confidentiels. Assurez-vous de les renouveler régulièrement et faites appel à un tiers pour réaliser des tests d’intrusion afin de vérifier la solidité de vos protections. Si vous êtes propriétaire d’actifs sans accès quotidien aux centrales, exigez ce niveau de professionnalisme de la part de vos prestataires O&M », conclut Uri Sadot.

Ce contenu est protégé par un copyright et vous ne pouvez pas le réutiliser sans permission. Si vous souhaitez collaborer avec nous et réutiliser notre contenu, merci de contacter notre équipe éditoriale à l’adresse suivante: editors@pv-magazine.com.