Triton / Trisis (2017)
Code malveillant découvert en 2017 dans une usine pétrochimique saoudienne, premier conçu pour neutraliser un système instrumenté de sécurité, donc capable de causer des dommages physiques et humains.
En août 2017, l'usine pétrochimique de Petro Rabigh, en Arabie saoudite, s'arrête d'elle-même. Ce sont ses automates de sécurité Triconex, fabriqués par Schneider Electric, qui ont déclenché la mise en sécurité : un code étranger essayait de les reprogrammer et s'y est mal pris. L'enquête met au jour Triton (Trisis chez d'autres analystes), le premier logiciel malveillant connu conçu pour neutraliser un système instrumenté de sécurité. Ce système est la dernière barrière automatique qui coupe une unité avant l'explosion ou la fuite toxique. Le but probable était d'aveugler cette barrière pendant qu'une autre action provoquait l'accident. En octobre 2020, le Trésor américain sanctionne l'institut de recherche russe TsNIIKhM, rattaché au ministère de la Défense ; en mars 2022, le département de la Justice rend publique l'inculpation d'Evgueni Gladkikh, employé de cet institut, votée par un grand jury en juin 2021. Pour l'assureur, Triton est le scénario que les modèles de cumul cyber avaient laissé à la marge : un sinistre cyber dont la conséquence est un dommage matériel, des blessés, des morts. Ce dommage tombe dans les polices dommages, énergie et responsabilité civile, souvent rédigées sans position claire sur le cyber, ce qu'on appelle le silent cyber. Avec une attribution étatique publique, la question de l'exclusion de guerre ou d'opération cyber d'un État s'ouvre aussitôt. Rien n'a explosé à Rabigh, et c'est ce qui rend le cas précieux : il montre l'intention et la capacité, sans le montant. À ne pas confondre avec Stuxnet : Stuxnet sabotait le procédé (les centrifugeuses iraniennes) ; Triton vise l'automate chargé d'arrêter le procédé quand il dérape.
Cas d'école : un souscripteur énergie revoit une raffinerie assurée en dommages pour 2 milliards d'euros. La police contient une clause d'exclusion des attaques informatiques de type CL380, qui écarte le dommage causé par un code malveillant. Il pose le scénario Triton : un incendie qui suit la neutralisation de l'automate de sécurité. Le sinistre serait exclu en dommages, et la police cyber de l'exploitant, plafonnée à 50 millions, exclut elle-même le dommage matériel. Le scénario fait apparaître un trou de couverture de presque toute la valeur, que l'assuré doit connaître avant qu'il serve.
Triton, Trisis, HatMan, attaque de Petro Rabigh, malware Triconex
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.