# Cyberattaque de 2020 contre les États-Unis

Quelques institutions américaines attaquées :
* Dans le sens de la lecture :
* (1) Défense,
* (2) Énergie,
* (3) Agriculture,
* (4) d'État,
* (5) Trésor,
* (6) NIH,
* (7) Sécurité intérieure,
* (8) Commerce |
La cyberattaque de 2020 contre les États-Unis vise plusieurs institutions du gouvernement fédéral des États-Unis, plusieurs institutions publiques américaines, plusieurs organisations privées américaines et plusieurs institutions étrangères. La cyberattaque, probablement menée par le groupe Cozy Bear avec le soutien du SVR, est révélée le 13 décembre 2020, mais elle aurait commencé en mars 2020. Les dégâts seraient si grands que des entreprises envisagent « de rebâtir totalement leurs serveurs » ; de même pour plusieurs institutions gouvernementales.

## Description

Cette cyberattaque, qualifiée de majeure et de type Advanced Persistent Threat, est menée par un groupe soutenu par un gouvernement étranger qui a pénétré différentes parties du gouvernement fédéral des États-Unis, ce qui a permis une violation de données$^,$.
La cyberattaque a été effectué par la compromission du système de mise à jour du logiciel Orion de SolarWinds par un hack nommé « Sunburst », ce qui a permis l'accès aux données des organisations utilisatrices de ce logiciel$^,$$^,$.

## Histoire

La cyberattaque était menée depuis plusieurs mois — elle aurait commencé en mars 2020 — sur des systèmes plus difficiles à surveiller par leurs utilisateurs : courriels et informations sur les transactions courantes (business records). Lorsque les attaquants ont tenté de pénétrer d'autres systèmes informatiques, ils avaient probablement pris le risque calculé d'être exposés. Les premières brèches ont été révélées le 13 décembre 2020$^,$ par la société FireEye qui a découvert la compromission de certains de ses outils$^,$.
Le 13 décembre, seuls le département du Trésor des États-Unis et le National Telecommunications and Information Administration (NTIA), partie du département du Commerce des États-Unis, ont déclaré être touchés$^,$$^,$$^,$. À partir du 14 décembre 2020, d'autres départements du gouvernement fédéral américain ont déclaré être la cible de cyberattaques$^,$$^,$. À la fin décembre 2020, les institutions fédérales visées ont commencé à reconstruire leurs serveurs, ce qui devrait mettre un terme à l'attaque.
En janvier 2021, l'Administrative Office of the United States Courts (en) suppose que les pirates ont mis la main sur des centaines de documents confidentiels, y compris des documents under seal, en lien avec des poursuites judiciaires menées dans le système judiciaire fédéral américain, ce qui risque de perturber plusieurs poursuites en cours.

## Cibles

Elle touche notamment le département du Commerce des États-Unis, le département du Trésor des États-Unis, le département de l'Intérieur des États-Unis, le département de l'Énergie des États-Unis, le département de la Défense des États-Unis, le département de la Santé et des Services sociaux des États-Unis et la National Telecommunications and Information Administration (NTIA)$^,$. Au total, l'attaque a touché 18 000 institutions ou entreprises, dont une grande partie des entreprises listées dans le Fortune 500, notamment Microsoft et plusieurs universités américaines.
Dans la foulée de cette cyberattaque, la Commission européenne et l'OTAN ont déclaré procéder à des vérifications de leurs systèmes informatiques. D'autres pays seraient visés indirectement par la cyberattaque : Belgique, Canada et Royaume-Uni, puisque l'OTAN y maintient des installations.

## Auteurs

Les États-Unis, par la voix de son secrétaire d’État Mike Pompeo, accusent publiquement la Russie d'avoir mené cette cyberattaque, malgré les déclarations contradictoires de Donald Trump$^,$. En parallèle, le département d'État des États-Unis annonce la fermeture des deux derniers consulats en Russie, situées à Vladivostok et à Iekaterinbourg, ne gardant que l'ambassade à Moscou comme point d'appui diplomatique en Russie$^,$.
Cozy Bear (APT29), groupe soutenu par le Service des renseignements extérieurs de la fédération de Russie (SVR), serait le cyberattaquant$^,$$^,$.
En janvier 2021, le FBI, la NSA, la Cybersecurity and Infrastructure Security Agency (CISA) et le Directeur du renseignement national annoncent qu'un groupe russe est certainement l'auteur de cette cyberattaque. Le FBI étudie également la possibilité que le logiciel SolarWinds ait été infecté à la suite de l'usage d'une version piratée de JetBrains, utilisé à large échelle par l'industrie informatique. En avril 2021, les autorités américaines confirment leur accusation et sanctionnent la Russie par une expulsion de 10 diplomates et une série de sanctions économiques ciblant notamment la dette publique russe ou encore des entreprises technologiques russes.