La Sûreté de l’État et l’Organisation belge des pipelines touchées par le piratage d’une société de sécurité

Le piratage de la société de sécurité américaine Barracuda a eu des répercussions sur deux services gouvernementaux en Belgique : la Sûreté de l’État et BPO-NATO, l’unité militaire chargée de l’entretien des pipelines. Knack et Datanews l’ont appris de plusieurs sources bien informées. Le Cyber Command, département au sein de la Défense, mène une enquête.

Le 18 mai 2023, l’entreprise américaine de sécurité Barracuda découvre que quelque chose d’étrange en se passe avec le matériel et les logiciels qu’elle vend dans le monde entier pour protéger les courriels. Elle identifie rapidement une vulnérabilité dans son « Email Security Gateway appliance ». En langage courant, il s’agit d’un dispositif qui agit comme une sorte de pare-feu pour le trafic de courrier entrant et sortant.
Après une enquête plus approfondie menée en collaboration avec des cyber-spécialistes de Mandiant, une filiale de Google, Barracuda découvre que des pirates ont commencé à exploiter cette vulnérabilité dès octobre 2022, notamment pour diffuser des logiciels malveillants. Barracuda trouve également des preuves que des données ont été dérobées. Il attribue le piratage à UNC4841, un « acteur agressif et hautement qualifié » ayant « des liens présumés avec la Chine ». Mandiant a signalé des victimes dans au moins 16 pays, y compris des services gouvernementaux.

Nos confrères de Knack et Datanews ont appris de plusieurs sources bien informées qu’en Belgique, la Sûreté de l’État et la Belgian Pipeline Organisation ont été touchées par le piratage de Barracuda.

Trafic de courrier électronique externe

Soyons clairs : ce n’est PAS la Sûreté de l’Etat elle-même qui a été piratée. Celle-ci utilise deux réseaux de données distincts : un interne, contenant des informations classifiées, et un externe, pour le trafic de courrier électronique avec le monde extérieur. Selon nos informations, le premier n’a pas été compromis, mais bien le second, étant protégé par le logiciel de Barracuda.

Mais même si, en principe, ces courriels ne contiennent pas d’informations classifiées, la question de savoir si un tiers aurait pu les lire suscite l’inquiétude d’un certain nombre d’agents des services de renseignement.

Comme le prévoit la loi, la Sûreté de l’État a signalé le problème à son régulateur, le Comité R (Comité permanent de contrôle des services de renseignements et de sécurité). Le Centre pour la Cybersécurité-Belgique (CCB) a également été appelé à la rescousse. La Sûreté de l’État, le Comité R et le CCB n’ont pas souhaité faire de commentaires.

Réseau de pipelines

Fondée en 2006 et basée à Louvain, la Belgian Pipeline Organisation (BPO-NATO) exploite un réseau militaire de 800 kilomètres de pipelines enterrés pour transporter des carburants 24/24 heures et 7/7 jours. La BPO-NATO est à la fois une unité militaire belge et un organisme international.

Les pirates ne sont pas allés au-delà du système Barracuda lui-même. Mais cela doit encore être confirmé

Göran Boudry

« En mai, la BPO-NATO a été informée par Barracuda de la vulnérabilité du logiciel Email Security Gateway, confirme le colonel Göran Boudry, chef de la BPO-NATO. En cas d’incidents de cybersécurité de ce type, nous suivons une procédure établie. Nous avons pris les mesures nécessaires par les voies normales – le Cyber Command – pour colmater la fuite. L’évaluation initiale est que les pirates ne sont pas allés au-delà du système Barracuda lui-même. Mais cela doit encore être confirmé. Le Cyber Command enquête toujours. »

Une équipe envoyée sur place à plusieurs reprises

Göran Boudry n’a pas voulu préciser si le courrier électronique de la BPO ou d’autres données ont été touchés. Selon nos informations, aucune donnée classifiée n’a été affectée, car elles se trouvaient sur un réseau séparé. Le fait que BPO soit la cible d’opérations cybernétiques ne surprend pas le colonel : « Nous sommes à la fois une installation militaire et un fournisseur d’énergie. Il n’est donc pas illogique que nous soyons dans le collimateur ».

Le commandement cybernétique confirme qu’il suit l’incident. « Nous avons envoyé une équipe sur les lieux à plusieurs reprises au BPO et avons également mené une enquête sur le logiciel en question. Un nouveau plan d’action sera mis en place dans les semaines à venir, déclare le général Michel Van Strythem, chef du commandement cybernétique. La protection des infrastructures critiques ayant un impact direct sur le fonctionnement de la Défense – et par conséquent sur le pays – est à juste titre une priorité pour le Cyber Command. »

5 % des logiciels sont compromis dans le monde

L’entreprise de sécurité américaine Barracuda affirme qu’elle a « rapidement déployé un correctif » pour remédier à la vulnérabilité de ses logiciels Email Security Gateway.

À la date du 10 juin 2023, environ 5 % de ces logiciels actifs dans le monde présentaient des signes de compromission, a indiqué Barracuda dans une réponse à Knack et Datanews. « Dans le cadre de notre stratégie de confinement, nous avons conseillé à nos clients, le 31 mai 2023, de remplacer les dispositifs compromis par un nouveau dispositif non compromis. Barracuda fournira gratuitement le produit de remplacement aux clients concernés ».