Un ancien employé de l’installation de traitement de l’eau de Discovery Bay en Californie a été inculpé par un grand jury fédéral pour avoir intentionnellement tenté de provoquer un dysfonctionnement des systèmes de sécurité et de protection de l’installation.
Rambler Gallo, 53 ans, était un employé à plein temps d’une société privée du Massachusetts sous contrat avec Discovery Bay pour exploiter l’installation de traitement de l’eau de la ville. Il occupait un poste de « technicien en instrumentation et contrôle », qu’il a occupé entre juillet 2016 et décembre 2020.
L’acte d’accusation allègue que Gallo avait installé un logiciel de contrôle à distance sur les systèmes de son employeur ainsi que sur son ordinateur personnel, ce qui lui permettait de surveiller les relevés d’instrumentation et de contrôler les processus électromécaniques de l’installation.
En janvier 2021, Gallo a démissionné de son employeur et a utilisé son ordinateur personnel pour accéder à distance au réseau de l’établissement, tentant délibérément de causer du tort.
Un communiqué de presse du ministère américain de la Justice indique que Gallo a envoyé des commandes à distance aux ordinateurs du traitement de l’eau pour désinstaller les outils logiciels critiques chargés de surveiller la pression de l’eau, la filtration et les niveaux de produits chimiques dans l’eau.
On ne sait pas pourquoi Gallo a agi d’une manière qui a mis en danger la santé et la sécurité de 15 000 habitants de la ville de Discovery Bay desservie par l’usine de traitement de l’eau.
« L’acte d’accusation accuse Gallo d’un chef d’accusation de transmission d’un programme, d’informations, d’un code et d’une commande pour causer des dommages à un ordinateur protégé, en violation de 18 U.S.C. §§ 1030(a)(5)(A) et (c)(4)(B)(i). S’il est reconnu coupable, Gallo encourt une peine légale maximale de 10 ans de prison et une amende de 250 000 dollars. Département de la justice des États-Unis
Le cas de R. Gallo souligne les risques associés à une mauvaise gestion des accès aux systèmes d’infrastructures critiques, en particulier dans le cas des services publics ayant un impact sur des communautés entières.
Un contexte de mauvaises pratiques de cybersécurité peut entraîner des dommages importants de la part d’employés mécontents disposant de privilèges d’accès étendus ou de pirates.
Un exemple est l’attaque de 2021 contre le système de traitement de l’eau de la ville d’Oldsmar, en Floride, où des acteurs de la menace ont tenté d’augmenter la concentration d’hydroxyde de sodium (NaOH), également connu sous le nom de lessive et de soude caustique, à des niveaux extrêmement dangereux.
À la suite de cet incident, qui a servi de signal d’alarme aux risques associés, le U.S. Water and Wastewater Systems (W.W.S.) a révélé que des gangs de rançongiciels ciblaient régulièrement les installations publiques dans tout le pays pour interrompre les opérations afin d’en tirer profit.