Cybersécurité Le secteur de l’agriculture n'est pas à l'abri des attaques informatiques

(Montréal) Imaginez qu’un producteur de volaille reçoit, par un soir de janvier où il fait -25 degrés Celsius, un message l’informant que le chauffage de ses poulaillers sera fermé s’il ne verse pas une rançon. Il constate alors qu’il n’a plus aucun contrôle sur ses systèmes informatiques ; s’il ne verse pas la rançon, toutes ses volailles vont mourir gelées.

Imaginez maintenant, à une plus grande échelle, qu’une puissance étrangère voulant nuire au Canada introduit dans les bases données d’éleveurs ou de grandes cultures de céréales, de fausses informations qui laissent croire qu’une maladie a atteint le cheptel de porcs du Québec ou le blé des Prairies, faisant s’écrouler la demande pour ces produits sur les marchés internationaux. Bien que l’information soit fausse, il faudra des semaines, voire des mois, avant de pouvoir prouver le contraire et rétablir la réputation de ces produits sur les marchés.

Rien de tout cela n’est de la science-fiction. L’agriculture, tant au niveau du producteur individuel qu’au niveau sectoriel, est devenue une cible comme les autres pour les attaques informatiques depuis que le secteur a amorcé une informatisation qui s’étend à presque toutes les composantes de la production.

« Les experts en cybersécurité regardent tout ce qui est infrastructure critique importante pour le Canada et l’agriculture est un bon exemple. Quand on y ajoute la technologie, il devient essentiel de la sécuriser », fait valoir Gabriela Nicolescu, professeure titulaire en génie informatique et génie logiciel à l’École Polytechnique.

Longue liste de cybermenaces

Les exemples ci-dessus ne sont d’ailleurs que deux scénarios parmi une longue liste de cybermenaces identifiées en 2018 par le département de la Sécurité intérieure des États-Unis (Department of Homeland Security, ou DHS) dans un long document élaboré en collaboration avec le FBI et le département de l’Agriculture.

« Les risques sont divers. Par exemple, il y a plusieurs opérations agricoles qui ont les mêmes risques cybernétiques que n’importe quels individu et entreprise au Canada », note Cal Corley, directeur général de la Community Safety Knowledge Alliance (CSKA).

Comme Monsieur et Madame Tout-le-monde, les producteurs agricoles ne sont en effet pas épargnés par les cyberfraudeurs qui se livrent à de l’hameçonnage dans le but d’obtenir leurs coordonnées bancaires. Au Royaume-Uni et en France, certains experts ont noté qu’ils sont particulièrement ciblés en décembre, soit après les récoltes, alors que leurs entrées de fonds sont les plus importantes.

Le Canada se met en marche

La CSKA a récemment reçu une subvention de 500 000 $ du gouvernement fédéral afin, justement, d’évaluer la cybersécurité agricole au Canada.

« L’objectif est de déterminer le niveau de prévention actuel et de mesures de cybersécurité en place dans le secteur agricole canadien et voir avec le secteur comment renforcer et améliorer la sécurité pour ce secteur puisqu’il s’agit d’une infrastructure critique pour le pays », explique M. Corley.

L’initiative tombe à point, selon Gabriela Nicolescu.

« Je ne pas si le milieu agricole est suffisamment sensibilisé, poursuit-elle. Il y a certainement un besoin de sensibiliser parce que la technologie augmente le rendement, augmente l’efficacité, elle aide énormément, mais elle ajoute des risques. »

Cyberattaques importantes au Québec

Le milieu agricole québécois a toutefois déjà goûté aux fruits amers de cyberpirates à au moins trois reprises récemment. La plus importante entreprise agricole de la province, Groupe Sollio — l’ancienne Coopérative fédérée — a subi en novembre dernier une sévère attaque visant l’appropriation de ses données assortie d’une demande de rançon, attaque qui a grandement perturbé ses activités. Une de ses filiales, le groupe Olymel, a subi le même sort en octobre et la coopérative Nutrinor, à Saint-Bruno au Lac-Saint-Jean, avait elle aussi été malmenée par des cyberpirates en novembre 2018.

Ces attaques aux rançongiciels sont les plus fréquentes, mais ne représentent que la pointe de l’iceberg. Le document du DHS américain énumère une foule de menaces, dont certaines sont à très grande échelle. Certes, il y a le vol de données, qui peut viser non seulement l’obtention d’une rançon mais aussi un avantage concurrentiel et la falsification intentionnelle de données pour perturber les marchés des secteurs de culture ou d’élevage, comme nous l’avons vu plus haut. Ce genre de fausse alerte sanitaire demeure au sommet des préoccupations du DHS.

À cela s’ajoute l’introduction de données malicieuses dans un réseau qui endommagerait des cultures en ciblant, par exemple, un réseau d’irrigation informatisé, menant à un surarrosage ou un sous-arrosage. Un autre risque se situe du côté de la machinerie agricole, de plus en plus bourrée de composantes informatiques, des systèmes qui ouvrent la porte à une perturbation à distance de leur fonctionnement, voire même à les mettre hors service lors de périodes critiques (plantation ou récolte). Le DHS évoque à ce sujet la possibilité d’un accès « backdoor » intégré aux systèmes informatiques dans la machinerie fabriquée à l’étranger, ce qui permettrait à une puissance malveillante de paralyser la machinerie en sol américain à des moments-clés.

Le DHS s’inquiète également de la domination par des entreprises étrangères du marché des drones, de plus en plus utilisés en agriculture, qui pourraient être configurés pour accumuler des données nuagiques accessibles dans leurs pays d’origine et donner à ceux-ci un levier déloyal lors de négociations d’ententes commerciales, par exemple.

Les élevages entièrement automatisés dans l’industrie laitière sont tout aussi vulnérables à des manipulations à distance que les poulaillers, avec les mêmes conséquences néfastes. Les décisions en matière de reproduction animale se basent aussi de plus en plus sur les données informatiques, avec le risque encore là d’être victime d’interventions malveillantes qui peuvent amener les producteurs à rater la fenêtre de reproduction d’animaux de grande valeur.

Mesures de protection

Il n’y a pas de recette miracle pour se protéger contre la malfaisance informatique, mais il y a des mesures de prévention. Parmi celles-ci, on retrouve au sommet les mesures de sauvegarde et de récupération des données. Puisque les logiciels antivirus ne peuvent garantir une protection absolue à mesure qu’évoluent les logiciels malveillants, il est sage de procéder à des sauvegardes régulières dans un endroit séparé et sécurisé, tel un disque dur externe par exemple.

Il est sage de conserver le moins de données possible sur son téléphone intelligent, porte d’entrée privilégiée des cyberpirates et de s’assurer que ces données sont protégées par des mots de passe robustes, tout comme sur l’ordinateur. Il est d’ailleurs fortement suggéré de toujours utiliser « l’authentification à deux facteurs », qui fait en sorte que même avec un mot de passe volé, un malfaiteur ne peut avoir accès.

Certains assureurs offrent aussi une protection visant non seulement à indemniser en cas de perte, mais aussi à fournir une expertise pour accompagner les victimes dans le rétablissement de leurs systèmes informatiques.

Et, bien sûr, la prudence demeure l’outil de base en matière d’informatique. Les offres qui semblent trop belles pour être vraies le sont presque toujours. Il faut se rappeler que les banques ne vous envoient pas de courriels et ne vous appellent pas pour demander des informations à votre sujet ; elles les ont déjà. L’achat de machinerie en ligne est aussi une proposition risquée. Au Royaume-Uni, de nombreuses transactions frauduleuses ont été notées lors de tentatives d’achat d’équipements valant des dizaines de milliers de dollars, tant sur des sites connus comme eBay que sur de faux sites web d’équipements, qui sont en croissance.

Pressions pour le « droit de réparer »

La machinerie, quant à elle, pose des problèmes particuliers. Des pressions sont faites sur les fabricants, dont plusieurs équipements sophistiqués ne peuvent être réparés sur le terrain en cas de bris, une source d’irritation énorme pour des producteurs habitués de se sortir du pétrin. Plusieurs manufacturiers refusent de partager les logiciels servant à diagnostiquer et réparer leur machinerie, obligeant les utilisateurs à attendre que l’on vienne faire le service en plein champ, ou à trouver le moyen de transporter des équipements parfois gigantesques à plusieurs kilomètres chez le détaillant.

Certains producteurs vont jusqu’à trouver des logiciels pirates qui leur permettent d’entrer dans les systèmes informatiques de leur machinerie, mais qui peuvent eux-mêmes présenter un risque d’entrée de l’extérieur.