Stuxnet

Pendant la majeure partie de l’année 2010, les ingénieurs iraniens du site d’enrichissement de Natanz ont remplacé centrifugeuse sur centrifugeuse, sans comprendre pourquoi elles cédaient. Les machines, suspendues dans des halles en cascade et tournant à des dizaines de milliers de tours par minute, se disloquaient plus vite que le programme ne parvenait à les renouveler.

Un ver qui savait où il se trouvait

L’origine du phénomène était un logiciel comme l’industrie antivirus n’en avait jamais vu. Il transportait quatre failles zero-day distinctes — un coût inédit — et se propageait par clé USB, sautant ainsi l’airgap censé isoler l’usine du reste d’internet.

Une fois à l’intérieur d’un automate industriel, Stuxnet observait. Il n’attaquait que des automates Siemens très spécifiques, câblés à une configuration très particulière de variateurs de fréquence. Si le système ne correspondait pas à l’empreinte de Natanz, le ver restait silencieux.

La politique par d’autres moyens

Les enquêteurs ont fini par attribuer l’opération à un programme conjoint américano-israélien désigné en interne sous le nom d’Olympic Games. Les journalistes en ont remonté la trace jusqu’à deux administrations successives et à un calcul stratégique : une campagne de sabotage clandestine valait mieux qu’une frappe aérienne israélienne ou qu’un Iran nucléaire.

Ce que la chronique retient

Stuxnet a été le moment où les opérations cyber ont cessé d’être théoriques pour devenir cinétiques. Tous les gouvernements disposant d’un budget se sont mis à étudier son code. L’ère de la cyberarme étatique a commencé le jour où quelqu’un a inséré, pour la première fois, la mauvaise clé USB.