L'arme invisible —
Stuxnet et les centrifugeuses de Natanz.

partie i

Le récit

Une centrale qui tourne en rond

Dans le désert du centre de l'Iran, à quelques kilomètres de la ville de Natanz, des centrifugeuses tournent. Des milliers de centrifugeuses, enfouies sous plusieurs mètres de béton armé, protégées par des batteries de missiles sol-air, surveillées par les Gardiens de la Révolution. Elles tournent jour et nuit, à 1 000 tours par seconde, pour enrichir de l'uranium.

Le monde entier regarde Natanz avec inquiétude. Les États-Unis. Israël. L'Europe. Les agences de renseignement multiplient les rapports. Le programme nucléaire iranien avance. Trop vite.

Une frappe militaire ? Trop risquée. Trop visible. Trop de conséquences imprévisibles.

Quelqu'un, quelque part, décide d'essayer autre chose.

L'arme qu'on ne voit pas

En 2005 ou 2006 — les dates exactes restent classifiées — un projet démarre dans les couloirs d'une agence de renseignement américaine. Peut-être à la NSA. Peut-être en collaboration avec l'unité 8200 du renseignement militaire israélien. Peut-être les deux.

Le projet s'appelle Operation Olympic Games. Son objectif : détruire le programme nucléaire iranien sans déclencher de guerre. Son moyen : un logiciel.

Pas un logiciel ordinaire. Une arme. La première arme numérique de l'histoire conçue pour détruire des infrastructures physiques.

Les ingénieurs qui la conçoivent savent qu'ils entrent en territoire inconnu. Ils construisent quelque chose qui n'a jamais existé. Quelque chose qui devra traverser des réseaux isolés, se cacher dans des systèmes industriels, attendre le bon moment, frapper avec précision — et surtout, ne pas se faire remarquer.

Ils mettent des années à la construire. On dit qu'ils ont reproduit, quelque part aux États-Unis, une réplique exacte des centrifugeuses iraniennes pour tester l'arme avant de la déployer.

L'arme s'appellera Stuxnet. Mais personne ne le sait encore.

La clé USB dans le parking

Natanz est un réseau dit "air-gapped" — physiquement déconnecté d'internet. Aucun câble ne relie les centrifugeuses au monde extérieur. Pour infecter ce réseau, il faut franchir un fossé qui n'existe pas dans le monde numérique. Il faut passer par le monde physique.

La méthode choisie est d'une simplicité déconcertante.

Des clés USB piégées. Déposées — selon certaines versions — dans des parkings proches d'entreprises sous-traitantes travaillant pour le programme nucléaire. Ou peut-être remises directement à un agent qui ne sait pas ce qu'il transporte. Les détails restent flous, peut-être intentionnellement.

Un employé ramasse une clé. La branche sur son ordinateur. Rien ne se passe — en apparence. Stuxnet s'installe en silence, se réplique, attend d'être connecté à d'autres machines. Il voyage de poste en poste, de clé en clé, jusqu'à trouver ce qu'il cherche.

Un automate industriel Siemens. Le modèle exact qui contrôle les centrifugeuses de Natanz.

La patience du prédateur

Stuxnet est patient. C'est peut-être sa caractéristique la plus terrifiante.

Quand il trouve sa cible, il ne frappe pas immédiatement. Il observe. Il enregistre le comportement normal des centrifugeuses — leurs vitesses de rotation, leurs cycles, leurs paramètres. Il envoie ces données normales aux opérateurs pendant qu'il prépare son attaque. Les écrans de contrôle affichent des valeurs rassurantes. Tout va bien.

Pendant ce temps, Stuxnet commence à modifier subtilement les instructions envoyées aux centrifugeuses. Il les fait tourner trop vite. Puis trop lentement. Puis trop vite à nouveau. Des variations imperceptibles à court terme, mais qui créent des contraintes mécaniques anormales sur les rotors.

Les centrifugeuses commencent à tomber en panne. Une par une. Puis par dizaines.

Les ingénieurs iraniens sont perplexes. Les pannes semblent aléatoires. Les diagnostics ne révèlent rien d'anormal — les données enregistrées sont normales, les paramètres sont corrects. Ils remplacent les machines défaillantes. Les nouvelles tombent en panne à leur tour.

Pendant des mois, peut-être des années, ils cherchent l'explication. Un défaut de fabrication ? Une erreur de procédure ? Une contamination ? Ils regardent partout sauf là où il faudrait.

La découverte

En juin 2010, un petit cabinet de cybersécurité biélorusse nommé VirusBlokAda reçoit un appel d'un client iranien. Son ordinateur redémarre en boucle. Les techniciens examinent le système à distance et trouvent quelque chose d'étrange — un fichier qu'ils ne reconnaissent pas.

Ils l'envoient à leurs collègues. Les collègues l'envoient à d'autres experts. En quelques semaines, les meilleurs analystes de la sécurité informatique mondiale ont les yeux rivés sur le même objet.

Ce qu'ils découvrent les laisse sans voix.

Stuxnet est comme rien de ce qu'ils ont jamais vu. Il exploite non pas une, ni deux, mais quatre failles zero-day — des vulnérabilités inconnues dans Windows, dont chacune aurait valu des centaines de milliers de dollars sur le marché noir. Les utiliser toutes les quatre dans un seul logiciel, c'est comme brûler quatre billets de 500 euros pour allumer une cigarette. Ça ne se fait pas. Ça ne s'était jamais fait.

Le code est d'une sophistication ahurissante. Des centaines de milliers de lignes. Des modules spécialisés, des mécanismes d'auto-destruction, des vérifications permettant de s'assurer qu'il ne s'attaque qu'à la bonne cible — exactement la bonne configuration d'automates Siemens, exactement le bon nombre de centrifugeuses.

Quelqu'un avait passé des années à écrire ça. Quelqu'un avec des ressources considérables. Quelqu'un qui ressemblait beaucoup à un État.

Le secret qui s'échappe

Le problème avec Stuxnet, c'est qu'il avait vocation à rester secret. Il devait frapper, disparaître, laisser les Iraniens se demander pourquoi leurs centrifugeuses tombaient en panne.

Mais quelque chose s'est mal passé. Une mise à jour du code, selon certains analystes, a introduit un bug qui a rendu Stuxnet plus agressif dans sa propagation. Au lieu de se limiter aux réseaux industriels iraniens, il a commencé à se répliquer sur des millions d'ordinateurs à travers le monde — en Inde, en Indonésie, aux États-Unis, en Europe.

C'est ainsi qu'un employé iranien a branché une clé USB sur son ordinateur personnel connecté à internet. Et que Stuxnet s'est retrouvé dans la nature.

L'arme secrète venait de se tirer une balle dans le pied.

partie ii

Le décryptage

Le premier acte de cyberguerre de l'histoire

Stuxnet n'est pas seulement une histoire de technique. C'est un événement géopolitique majeur — le moment où la guerre a franchi une nouvelle frontière.

Avant Stuxnet, les cyberattaques volaient des données, paralysaient des sites web, perturbaient des communications. Elles restaient dans le monde numérique. Stuxnet a été le premier logiciel malveillant conçu pour franchir la frontière entre le monde numérique et le monde physique — pour détruire des machines réelles dans des installations réelles.

Les stratèges militaires appellent ça un acte de guerre cinétique par vecteur cyber. En langage clair : une bombe, mais en code.

Quatre zero-days — une dépense sans précédent

La caractéristique technique la plus stupéfiante de Stuxnet reste l'utilisation de quatre vulnérabilités zero-day simultanées.

Un zero-day est une faille de sécurité inconnue du fabricant du logiciel — et donc sans correctif disponible. Les gouvernements et les groupes criminels les collectionnent et les monnaient. Sur le marché, une bonne zero-day pour Windows vaut entre 100 000 et 1 000 000 de dollars.

En utiliser quatre dans une seule opération, c'est accepter de "brûler" une ressource extraordinairement précieuse. Ça signifie que les concepteurs de Stuxnet étaient prêts à dépenser sans compter. Seul un État en avait les moyens et la motivation.

L'air gap franchi par l'humain

La notion d'air gap — réseau physiquement isolé d'internet — est longtemps apparue comme la protection ultime pour les infrastructures critiques. Centrales nucléaires, réseaux électriques, systèmes militaires : coupez le câble et vous êtes en sécurité.

Stuxnet a démontré l'illusion de cette protection.

Le vecteur d'infection initial — la clé USB — exploite non pas une faille technique, mais une faille humaine universelle : la curiosité, la négligence, la confiance. Tant qu'un être humain peut apporter un périphérique dans une installation sécurisée, l'air gap peut être franchi.

Le spoofing des données opérateur — l'attaque invisible

La sophistication la plus redoutable de Stuxnet n'est pas dans sa façon de frapper. Elle est dans sa façon de se cacher.

En renvoyant aux opérateurs des données normales pendant que les centrifugeuses s'autodétruisaient, Stuxnet a introduit un concept qui allait devenir central dans la réflexion sur la sécurité industrielle : l'intégrité des données de supervision.

Ce que vous voyez sur vos écrans de contrôle est-il réel ? Ou quelqu'un vous montre-t-il ce que vous voulez voir pendant qu'il fait autre chose ?

Cette question hante aujourd'hui les responsables de sécurité des systèmes SCADA dans le monde entier. Les systèmes de détection modernes cherchent non seulement des comportements anormaux dans le réseau, mais aussi des incohérences entre les données rapportées et les mesures physiques indépendantes.

Les dommages collatéraux et le retour de bâton

L'expansion incontrôlée de Stuxnet hors des réseaux iraniens illustre un risque fondamental des cyberarmes : l'impossibilité de les contenir géographiquement.

Une bombe tombe là où on la lâche. Un logiciel malveillant se réplique. Une fois dans la nature, Stuxnet a infecté des centaines de milliers de systèmes dans le monde — y compris des installations industrielles hors d'Iran. Les dégâts collatéraux ont été limités, mais la possibilité était réelle.

Ce problème de "débordement" est aujourd'hui au cœur des débats juridiques et éthiques sur la cyberguerre. La Convention de Genève s'applique-t-elle aux cyberarmes ? Comment définir la proportionnalité quand une arme peut se propager au-delà de sa cible initiale ? Ces questions restent sans réponse définitive.

L'Iran après Stuxnet

Le programme nucléaire iranien a-t-il été stoppé ? Ralenti, certainement. Les estimations varient, mais la plupart des analystes s'accordent sur un retard de deux à cinq ans dans le développement des capacités d'enrichissement iraniennes.

Ce n'est pas rien. Mais ce n'est pas non plus une victoire définitive.

Piqué au vif, l'Iran a massivement investi dans ses propres capacités offensives en cybersécurité. Le groupe APT33, les attaques contre Saudi Aramco en 2012, les opérations contre des banques américaines — tout ça est apparu, au moins partiellement, en réponse à Stuxnet.

En voulant ralentir un programme nucléaire, Operation Olympic Games a peut-être créé un adversaire cyber redoutable qui n'existait pas.

Ce qu'on retient aujourd'hui

Stuxnet a changé trois choses fondamentales dans la façon dont le monde pense la cybersécurité.

Les infrastructures critiques sont des cibles. Avant 2010, la menace cyber était perçue comme un problème informatique — vol de données, fraude en ligne. Stuxnet a démontré que les réseaux électriques, les usines, les hôpitaux, les systèmes de transport sont vulnérables à des attaques qui peuvent tuer.

L'air gap n'est pas une protection suffisante. La sécurité par isolation physique doit être complétée par des politiques humaines strictes, une journalisation exhaustive et une surveillance des comportements anormaux.

Les États font la guerre avec du code. La cyberguerre n'est plus de la science-fiction. Elle a eu lieu. Elle a lieu en ce moment, dans des dizaines de conflits invisibles dont nous ne connaissons pas l'existence.