A l'ère de l'industrie 4.0, de l'IoT et de la 5G, de nombreux composants industriels vont tendre à être connectés et à échanger des informations, constituant autant de portes d'entrée possibles pour des personnes malveillantes.
Dans certains cas, les automates industriels en charge de réaliser des tâches minutieuses ne sont pas toujours à l'abri de tentatives de prises de contrôle et de modifications de leur fonctionnement, avec des conséquences graves, voire létales.
Un rapport produit par Fredericco Maggi, de Trend Micro, et Marcello Pogliani, de l'institut Politecnico di Milani, sur cette thématique va être présenté durant l'événement Black Hat en ce début de mois d'août.
Les deux experts en sécurité ont notamment mis en évidence des failles dans le software de la firme finno-suisse ABB, l'un des plus grands fabricants d'automates industriels, et dans un logiciel open source Ros-I (Robot OS - Industrial), utilisé (mais non développé) par Kuka, autre fabricant de robots industriels, permettant des prises de contrôle à distance et des modifications des programmations des automates, rapporte l'agence Bloomberg.
En faisant du reverse engineering sur les logiciels de maintenance et de fonctionnement des robots du portail d'applications d'ABB, ils ont découvert une faille dans l'une des applications permettant de recueillir les données des contrôleurs des robots mais aussi une vulnérabiilité dans le catalogue d'applications lui-même qui pouvait laisser des hackers uploader des applications vérolés en contournant le système de validation.
Une autre faille dans Ros-I pouvait également laisser un hacker modifier les mouvements du robot, laissant entrevoir la possibilité de saboter la production ou même de blesser des techniciens.
Les failles en question ont été corrigées depuis et aucun indice de l'exploitation de ces vulnérabilités n'a été retrouvé, expliquent les chercheurs en sécurité. Mais en ces temps de tensions géopolitiques internationales et de piratages massifs menés systématiquement par certains Etats, la récupération de données industrielles sensibles pour de l'espionnage économique et la possibilité de sabotage à distance sont des éléments à prendre très sérieusement en compte.
On notera toutefois pour relativiser que cela fait plusieurs années que des rapports similaires émergent, avec les mêmes risques relevés et associés à la connexion distante des automates pour des besoins de maintenance, mise à jour et contrôle.
