Système SCADA de service public attaqué

Un service public d’électricité a autorisé un fournisseur sous contrat à établir une connexion VPN. Ni l’un ni l’autre n’ont pris les mesures adéquates pour garantir une protection adéquate des accès, pensant que l’autre l’avait fait.  La connexion était initialement destinée à avoir une exposition minimale à Internet alors qu’en fait elle avait une exposition significative.  Un agent menaçant a exploité cette vulnérabilité en permettant la pénétration du système SCADA. (#2)

L’attaque a eu un impact financier important pour le service public, même s’il n’a pas perdu d’électricité et que ses clients n’ont pas été physiquement affectés. Le service public a perdu l'usage de son système SCADA pendant 2 semaines jusqu'à ce que le système SCADA puisse être complètement reprogrammé et transformé en un système “trusted”. Le coût était de 4 mois-personnes d'effort. Le service public n’a pas signalé l’incident – il n’y avait aucune exigence, puisqu’aucune alimentation électrique n’a été perdue. (#2)