Dans l'énergie, le push bombing vise une population précise : les personnes d'astreinte. Elles sont peu nombreuses, elles disposent d'accès distants étendus, et elles sont sollicitées la nuit par définition. Une rafale de notifications à trois heures du matin y paraît donc normale, ce qui supprime le principal signal d'alerte dont dispose la victime.
Les accès qui font la valeur de la cible
Un compte d'exploitation ou d'ingénierie ouvre rarement sur des données : il ouvre sur des capacités d'action.
- Les accès distants de télé-conduite, généralement via un rebond ou un bastion, qui permettent de consulter et parfois de piloter des installations réparties sur un territoire.
- Les comptes de télémaintenance des fournisseurs d'automates, de protections et de systèmes de supervision, souvent partagés et rarement individualisés.
- Les plateformes de comptage et de données de marché, dont la manipulation a une valeur économique directe sans nécessiter le moindre accès physique.
- La bureautique de l'exploitant, qui contient les schémas, les procédures de conduite et les plannings d'astreinte : de quoi préparer une intrusion beaucoup plus ciblée.
Le risque ne se limite donc pas à la confidentialité. Il porte sur la continuité de fourniture, avec des conséquences qui dépassent l'entreprise.
Ce que l'exploitation impose et que l'attaquant exploite
Trois contraintes propres au secteur transforment une bonne intention en faiblesse.
La première est la connectivité. Une notification push suppose un terminal joignable en données. Sur un site isolé, dans un local technique, en sous-sol ou en zone blanche, cette condition n'est pas garantie. Quand la MFA échoue à un moment critique, l'organisation invente un contournement : session laissée ouverte, compte de secours, dérogation permanente. L'attaquant s'engouffre dans le contournement, pas dans le contrôle.
La deuxième est le rythme d'astreinte. Un agent réveillé pour un incident réel n'est pas en état d'analyser la légitimité d'une demande. La troisième est l'ancienneté des environnements industriels : beaucoup de systèmes de supervision n'acceptent pas nativement une authentification moderne, ce qui concentre la protection sur le point d'entrée distant — et fait de ce point d'entrée la cible unique.
| Contrainte d'exploitation | Effet sur la sécurité | Ce qu'en fait l'attaquant | Parade réaliste |
|---|---|---|---|
| Sites mal couverts en données | Le facteur mobile échoue | Pousse à la dérogation permanente | Facteur fonctionnant hors couverture continue |
| Astreinte de nuit | Vigilance dégradée | Rafale nocturne ciblée | Blocage après refus, alerte immédiate |
| Systèmes de supervision anciens | Authentification déportée sur le bastion | Concentre l'effort sur l'accès distant | Facteur non rejouable sur le bastion |
| Télémaintenance fournisseur | Comptes partagés, peu tracés | Usurpe un intervenant | Comptes nominatifs, ouverture à la demande |
| Interventions planifiées | Fenêtres connues à l'avance | Se synchronise avec une intervention | Validation liée à l'opération, pas à l'horaire |
Ce qu'exige NIS2 pour un opérateur du secteur
L'énergie figure parmi les secteurs de forte criticité visés par la directive NIS2 (directive (UE) 2022/2555). Ses mesures de gestion des risques citent explicitement l'authentification multifacteur ou continue, ainsi que la sécurité de la chaîne d'approvisionnement — ce qui recouvre directement les accès de télémaintenance des fournisseurs d'équipements.
L'exigence pratique est double. Il faut d'une part démontrer que la méthode d'authentification retenue couvre les scénarios documentés, et le push bombing en est un depuis la compromission publique d'Uber en 2022. Il faut d'autre part être capable de notifier un incident significatif dans les délais prévus, ce qui suppose de détecter l'approbation frauduleuse — donc de journaliser les refus autant que les succès.
Pour les briques hébergées, la qualification SecNumCloud de l'ANSSI sert de repère aux donneurs d'ordre du secteur, notamment pour les fonctions de supervision externalisées.
Parades compatibles avec la conduite d'installations
- Traiter le bastion comme le périmètre réel. Puisque l'authentification des systèmes anciens est déportée, c'est là que doit se trouver le facteur le plus résistant, et nulle part ailleurs par défaut.
- Supprimer l'approbation binaire pour les accès de conduite. Un « oui » ne porte aucune information sur l'action demandée. Une validation qui affiche et engage l'opération visée change la nature du contrôle.
- Ouvrir les accès de télémaintenance à la demande, sur une fenêtre bornée, avec un compte nominatif et une validation côté exploitant. Un accès permanent de fournisseur est une porte que personne ne surveille.
- Vérifier la robustesse hors couverture réseau. Une méthode qui échoue sur un site isolé sera contournée, donc inutile. C'est un critère de choix, pas un détail de déploiement.
- Retenir un facteur qui exige une intention humaine consciente. Le principe du facteur cognitif — prouver que l'on sait faire, plutôt que réagir à une sollicitation — casse l'automatisme sur lequel repose toute la mécanique du push bombing. Un enrôlement réalisé hors ligne, dotant l'agent d'une méthode de résolution personnelle, répond par ailleurs à la contrainte des sites peu connectés.
FAQ
Le push bombing concerne-t-il les réseaux industriels isolés ?
Rarement en direct, puisque l'attaque suppose un compte joignable. Elle vise l'accès distant qui mène à ces réseaux : poste d'ingénierie, passerelle, bastion. La séparation des réseaux ne protège que si le point de franchissement est lui-même correctement authentifié.
Faut-il conserver un compte de secours pour l'astreinte ?
Un mécanisme de repli est nécessaire, mais il doit être nominatif, borné dans le temps, journalisé et revu après usage. Un compte de secours permanent, partagé et connu de l'équipe finit toujours par devenir le chemin d'attaque le plus court.
Comment détecter une approbation frauduleuse la nuit ?
Par corrélation plutôt que par seuil : authentification réussie sans ticket d'incident ouvert, accès distant sans intervention planifiée, ou connexion depuis une infrastructure d'hébergement. Ces règles sont peu coûteuses et très discriminantes en exploitation.
Les fournisseurs d'équipements doivent-ils appliquer les mêmes règles ?
Oui, et NIS2 rend cette exigence opposable au titre de la chaîne d'approvisionnement. En pratique, elle se traduit dans les contrats de maintenance : comptes nominatifs, méthode d'authentification imposée, traçabilité des interventions.
Aller plus loin : comprendre l'authentification cognitive · la mécanique du push bombing · NIS2 dans le secteur de l'énergie · MFA résistante au phishing