Ukraine Power Grid Attack

Définition

Les Ukraine Power Grid Attacks désignent une série de cyberattaques attribuées au groupe Sandworm, lié aux services de renseignement militaires russes (GRU), ayant provoqué des coupures d'électricité affectant des centaines de milliers de foyers ukrainiens, constituant les premières cyberattaques confirmées ayant directement causé une panne de réseau électrique. L'attaque de décembre 2015 a combiné une intrusion initiale par phishing ciblé, le déploiement du malware BlackEnergy pour établir une persistance et une reconnaissance du réseau, puis une manipulation directe des interfaces SCADA par les attaquants eux-mêmes, ayant pris le contrôle des postes de travail des opérateurs pour ouvrir manuellement les disjoncteurs de plusieurs sous-stations, privant d'électricité environ 230 000 personnes pendant plusieurs heures, tout en menant simultanément une attaque par déni de service téléphonique pour retarder le signalement de l'incident par les usagers. L'attaque de décembre 2016 contre Kyiv a marqué une évolution significative avec le déploiement d'Industroyer (également appelé CrashOverride), premier malware documenté conçu spécifiquement pour communiquer nativement avec les protocoles industriels de contrôle électrique (IEC 60870-5-101/104, IEC 61850, OPC), automatisant l'ouverture des disjoncteurs sans nécessiter d'intervention manuelle des attaquants pendant l'attaque elle-même. Ces incidents, documentés en détail par des chercheurs de Dragos et ESET, ont profondément influencé les référentiels de sécurité OT ultérieurs et démontré la matérialité concrète du risque cyber-physique pesant sur les infrastructures énergétiques critiques.