Le FSB infiltre des routeurs européens

Les services américains et européens accusent le Centre 16 du FSB d’exploiter des routeurs mal sécurisés dans les communications, l’énergie, la finance, l’administration, la défense et la santé. Le levier est banal : des mots de passe d’usine et des fonctions de gestion à distance laissées ouvertes.

Dans beaucoup d’organisations, le point faible ne ressemble pas à une cyberattaque sophistiquée. Il tient dans une armoire technique : un routeur installé depuis des années, jamais mis à jour, encore protégé par son mot de passe d’origine. Comme il fonctionne, personne ne le regarde. C’est précisément cette invisibilité qui intéresse le renseignement russe.

Une alerte conjointe publiée ce mois-ci par la NSA, le FBI et les services de renseignement d’au moins huit pays européens désigne une unité précise, le Centre 16 du FSB, comme responsable de l’exploitation systématique de ces équipements oubliés (CISA). La coalition comprend la France, l’Italie, la Pologne, la Suède, la Finlande, l’Estonie, le Danemark et la République tchèque (NCSC NZ). Le message est politique autant que technique : l’hygiène des routeurs devient une vulnérabilité occidentale partagée.

Comment le plan du bâtiment sort du réseau

Beaucoup de routeurs conservent une ancienne fonction d’administration à distance, conçue pour permettre aux techniciens de gérer des équipements depuis un autre point du réseau. Les ingénieurs l’appellent SNMP, pour Simple Network Management Protocol. Ses premières versions, pensées il y a plusieurs décennies, reposent sur une sécurité minimale : le « mot de passe » est souvent une simple chaîne de caractères, laissée à sa valeur d’usine, parfois littéralement « public » ou « private ». Un acteur qui scanne Internet peut la deviner (CISA).

Une fois l’accès obtenu, l’attaquant ordonne au routeur de copier son propre fichier de configuration et de l’envoyer vers un serveur qu’il contrôle (NSA). Ce fichier est le carnet interne de l’équipement : il indique quels appareils existent sur le réseau, comment circule le trafic et, parfois, où sont stockés certains identifiants. L’assaillant récupère ainsi une carte de l’organisation et, dans certains cas, les moyens de progresser plus loin.

Le mécanisme est presque physique : essayer des portes jusqu’à en trouver une ouverte, photocopier le plan des étages, lire l’annuaire interne, repérer l’armoire où sont gardées les clés. Le centre finlandais de cybersécurité l’a résumé de manière opérationnelle : des équipements réseau faiblement protégés ouvrent une voie aux cyberattaques, et les organisations ne doivent pas laisser ces consoles d’administration exposées à l’Internet public (Kyberturvallisuuskeskus).

L’ossature des économies européennes exposée

L’alerte énumère les secteurs visés : communications, énergie, services financiers, administrations, base industrielle de défense et santé (CISA). Autrement dit, l’infrastructure ordinaire de toute économie européenne.

La presse allemande a souligné l’asymétrie du risque : les routeurs et autres équipements de bordure, placés entre une organisation et l’Internet ouvert, sont souvent moins surveillés que les serveurs ou les ordinateurs portables, alors qu’une seule erreur de configuration suffit à commencer la cartographie d’un réseau (Handelsblatt, cyberdeutsch.news). Les services italiens AISE et AISI ont cosigné l’alerte (Decode39). En Finlande, le Supo a publié un avertissement national parallèle à destination des entreprises et des secteurs critiques (Supo).

Le danger ne s’arrête pas à la première victime. Un routeur compromis peut servir d’adresse de rebond : des opérations hostiles ultérieures transitent par le réseau de la victime et semblent provenir d’une entreprise européenne légitime. Cette méthode blanchit la présence de l’attaquant et complique la détection pour les partenaires, fournisseurs et clients de toute la chaîne (AttackIQ).

La parade est banale, et c’est bien le problème

Les mesures recommandées n’ont rien de spectaculaire : désactiver les anciennes versions de SNMP, passer à SNMPv3, qui impose une véritable authentification, changer les mots de passe par défaut, limiter l’administration à distance aux réseaux connus, mettre à jour les firmwares et remplacer les appareils qui ne reçoivent plus de correctifs (NSA). Le centre finlandais de cybersécurité ajoute une règle de traçabilité : collecter et conserver les journaux pendant six à vingt-quatre mois (Kyberturvallisuuskeskus).

Chaque point de cette liste relève d’une décision qu’une équipe informatique peut prendre sans attendre une nouvelle loi ni un renseignement classifié. Le déficit est donc moins celui de la connaissance que celui de la priorité. Un hôpital ou une mairie peut sécuriser correctement ses ordinateurs tout en laissant le routeur d’une antenne locale fonctionner avec le mot de passe livré en 2018.

C’est ce schéma que vingt pays signalent désormais. Le renseignement russe ne perce pas toujours des défenses avancées ; il emprunte des accès de maintenance qui n’ont jamais été verrouillés. L’espionnage change d’échelle parce que la même négligence, modeste en apparence, se répète sur des milliers de réseaux.