Danger sous-estimé, les systèmes de gestion des bâtiments peuvent mettre en péril l’intégrité des processus

En juillet 2019, le ministère américain de la sécurité intérieure a émis un avertissement concernant une faille dans un système automatisé de gestion des bâtiments, largement utilisé pour la surveillance de la climatisation, du chauffage et des serrures via une interface web. Des pirates pouvaient exploiter cette faille de sécurité afin d’accéder à l’intégralité du système et ainsi modifier la température des pièces ou mettre en péril la sécurité physique des bâtiments.

La possibilité de modifier la température ne paraît peut-être pas inquiétante à première vue. Mais plutôt simplement gênante. Il existe cependant un certain nombre de domaines où la température joue un rôle considérable.

Les data centers s’appuient par exemple sur des systèmes de gestion des bâtiments pour maintenir une température idéale (en général entre 17 et 27 °C). Si des pirates informatiques l’augmentent, les conséquences peuvent être nombreuses : pannes, destruction de l’installation, incendie, mise en danger de la vie des personnes présentes, etc.

En outre, même des petites perturbations peuvent provoquer des pertes de données et limiter la durée d’utilisation de l’équipement. Compte tenu de ces impacts potentiels, les systèmes de gestion des bâtiments d’entreprises dont les processus dépendent des serveurs (telles que les banques, les réseaux sociaux et autres plateformes en ligne) constituent des cibles de choix pour les attaquants qui veulent détruire des données, endommager des infrastructures critiques ou provoquer défaillances et autres interruptions de service.

Les systèmes de GTB jouent également un rôle primordial dans un certain nombre de processus de fabrication sensibles à la température ou à l’humidité. Cela concerne notamment la fabrication de produits électroniques, de denrées alimentaires, de boissons ou de produits pharmaceutiques. En obtenant un accès ciblé, les attaquants seraient en mesure de modifier des conditions définies de manière précise… Et ainsi de compromettre la qualité (et l’efficacité) des produits fabriqués, avec des conséquences catastrophiques.

Les entreprises doivent être conscientes que leur exposition a considérablement augmenté ces dernières années. La multiplication exponentielle des objets connectés et communicants mais surtout la convergence croissante des réseaux et des systèmes jusqu’à présent distincts offrent de nombreuses nouvelles possibilités aux attaquants, qui ne se privent pas de les exploiter.

Aucune entreprise n’est suffisamment petite ou insignifiante pour ne pas être visée par les cybercriminels. Pour être en mesure de faire face aux attaques de plus en plus sophistiquées, les entreprises doivent intégrer le moindre élément de leur infrastructure dans leur stratégie de sécurité, que ce soit le système informatique, la technique d’exploitation ou la gestion des bâtiments.