Le 13 juillet, la NSA, la CISA, le FBI et seize autres agences de treize pays, dont le Centre canadien pour la cybersécurité, ont publié un avis conjoint (AA26-194A) attribuant au Centre 16 du FSB russe une campagne de plus de dix ans contre les équipements réseau mal configurés ou en fin de vie des secteurs critiques. Six secteurs sont désignés comme les plus à risque : communications, base industrielle de défense, énergie, services financiers, services gouvernementaux et santé.
Quatre semaines plus tôt, le 15 juin, le projet de loi C-8 recevait la sanction royale à Ottawa, créant la Loi sur la protection des cybersystèmes essentiels. Lus ensemble, ces deux textes disent une chose simple aux exploitants d'infrastructures critiques canadiens : la menace est active et documentée, et la préparation cesse d'être une bonne pratique pour devenir une obligation légale.
Une campagne sans logiciel malveillant
Ce qui rend l'avis AA26-194A remarquable, c'est la banalité des techniques décrites. Pas d'implant sophistiqué, pas de zéro-day : les acteurs du FSB balaient Internet à la recherche d'agents SNMP acceptant des chaînes de communauté par défaut, puis envoient des requêtes SNMP qui ordonnent à l'équipement de copier sa propre configuration et de l'exfiltrer par TFTP vers des serveurs qu'ils contrôlent. À l'occasion, ils exploitent une faille Cisco Smart Install connue depuis 2018 (CVE-2018-0171) ou des équipements en fin de vie qui ne recevront plus jamais de correctif.
Les fichiers de configuration volés livrent ensuite les mots de passe stockés dans des formats faibles, les schémas d'adressage et les règles de filtrage : tout ce qu'il faut pour revenir plus tard, discrètement et avec des accès légitimes.
Deux points méritent l'attention d'un propriétaire de risque.
- C'est une attaque silencieuse par conception. Aucun logiciel malveillant à détecter, des adresses sources usurpées, un trafic qui ressemble à de l'administration réseau ordinaire. La plupart des organisations ne verraient rien.
- Chaque défaillance exploitée est un contrôle connu. Désactiver Smart Install, passer à SNMPv3, restreindre l'administration à un réseau de gestion hors bande, bloquer TFTP et SNMP en bordure, remplacer les équipements en fin de vie : l'avis ne demande rien d'exotique. Il demande de la discipline et un inventaire à jour, c'est-à-dire une vraie gestion de la surface d'attaque externe.
Ce que la loi C-8 change
La Loi sur la protection des cybersystèmes essentiels vise les exploitants désignés de quatre secteurs sous réglementation fédérale : finances, télécommunications, énergie et transports. Trois de ces quatre secteurs figurent aussi dans la liste des cibles prioritaires du FSB selon l'avis conjoint. La loi n'est pas encore pleinement en vigueur, ses règlements d'application sont attendus, mais son architecture est connue.
- Un programme de cybersécurité obligatoire. Identifier les risques, protéger les cybersystèmes essentiels, détecter les incidents, en limiter l'impact. Les analyses juridiques évoquent un délai de 90 jours après la désignation pour l'établir.
- Le signalement obligatoire des incidents au Centre canadien pour la cybersécurité, dans un délai qui sera fixé par règlement (les analyses évoquent 72 heures au plus), puis au régulateur sectoriel.
- La gestion des risques de la chaîne d'approvisionnement, à traiter dès qu'ils sont identifiés.
- Des directives gouvernementales contraignantes, et des sanctions administratives pouvant atteindre 15 millions de dollars par violation pour une organisation, chaque jour comptant comme une violation distincte, avec une responsabilité personnelle possible des administrateurs et dirigeants.
Mettez les deux textes côte à côte et le constat devient concret : une exfiltration de configuration par SNMP, exactement ce que décrit l'avis, est précisément le type d'incident qui deviendra déclarable en heures une fois la loi en vigueur. Or c'est aussi le type d'incident que la majorité des exploitants ne détecteraient pas aujourd'hui.
La fenêtre de préparation
Les obligations de la loi C-8 n'ont pas encore de date d'entrée en vigueur : les exploitants disposent d'une fenêtre de préparation, de durée inconnue. La désignation, quand elle viendra, pourra imposer des délais courts. La démarche rationnelle consiste à construire dès maintenant le programme en s'appuyant sur la liste de mesures de l'avis conjoint, qui cite d'ailleurs explicitement les publications du Centre canadien pour la cybersécurité.
- Inventoriez vos équipements réseau, y compris ceux que plus personne n'administre. Un routeur en fin de vie, joignable depuis Internet, est exactement la cible décrite.
- Durcissez les protocoles d'administration : SNMPv3, mots de passe robustes et formats de stockage modernes, accès de gestion hors bande, blocage de TFTP, de Smart Install et de SNMP en bordure de réseau.
- Détectez ce qui est silencieux : des alertes sur les requêtes SNMP entrantes visant les identifiants sensibles et sur les connexions aux comptes locaux des équipements coûtent peu et couvrent précisément ce scénario.
- Documentez le tout. Sous C-8, la question du régulateur ne sera pas « êtes-vous sécurisés » mais « montrez-moi votre programme, vos risques identifiés et vos preuves ». La cartographie des risques devient un livrable réglementaire, plus seulement un outil interne.
La question pour le conseil
Pour un conseil d'administration d'exploitant d'infrastructure critique, la question a changé de nature. Hier : « sommes-nous exposés à cette campagne ? ». Demain, sous C-8 : « si cet incident survenait ce soir, saurions-nous le détecter, le déclarer dans les délais, et démontrer au régulateur que notre programme était sérieux ? ». Avec des sanctions par jour et une responsabilité personnelle des dirigeants, l'écart entre ces deux questions se mesure désormais en dollars et en carrières.
Où FortaRisks intervient
FortaRisks, plateforme canadienne de gestion intégrée des risques, aide les exploitants à se préparer des deux côtés de l'équation : la gestion de la surface d'attaque externe découvre en continu les équipements exposés, y compris ceux tombés hors inventaire, et le module Conformité transforme les exigences d'un programme de cybersécurité en écarts mesurés, priorisés et documentés, prêts à être présentés à un conseil ou à un régulateur. Pour un premier état des lieux gratuit, notre score de risque cyber prend quelques minutes.