La cybermenace ciblant des laboratoires de recherche

Introduction

La recherche médicale et sur les sciences de la vie est une partie importante de l’économie canadienne, et elle apporte une contribution essentielle à la sécurité nationale et à la sécurité sanitaire du Canada. En plus d’une contribution de 89,6 milliards de dollars au PIB du Canada en 2022, cette recherche permet de développer de nouveaux vaccins et de produire des substances thérapeutiques pour aider le Canada à mieux faire face aux crises sanitaires. Les chercheuses et chercheurs canadiens sont reconnus à l’échelle internationale pour la découverte de l’insuline, leur participation au développement d’un vaccin contre le virus d’Ebola, et pour avoir réussi à isoler et à mettre en culture le virus responsable de la COVID-19, ouvrant la voie à d’autres recherches sur les vaccins.^{Note de bas de page 1}

Des laboratoires canadiens de recherche biologique, c’est-à-dire des laboratoires qui travaillent avec des agents pathogènes humains et animaux et des toxines, ont apporté énormément de contributions au Canada et au milieu mondial de la recherche. L’importance de la recherche canadienne en laboratoire est telle que les laboratoires deviennent des cibles intéressantes pour les auteures et auteurs de cybermenace. Tout au long de la pandémie de COVID-19, le Centre pour la cybersécurité a observé un grand volume d’activités de cybermenace menées par des auteures et auteurs de menace et des cybercriminelles et cybercriminels contre des organismes de santé et d’autres organismes au sein de la chaîne d’approvisionnement des vaccins, notamment des laboratoires.^{Note de bas de page 2}

Après la pandémie de COVID-19, des laboratoires, des universités et des centres de recherche ont continué d’être ciblés par des auteures et auteurs de cybermenace parrainés par des États à des fins d’espionnage et d’être victimes de cybercriminelles et criminels cherchant à obtenir un gain financier. Au même moment, les systèmes sur lesquels s’appuient les laboratoires pour étudier les agents pathogènes et toxines considérés comme dangereux sont de plus en plus transformés et intégrés sur le plan numérique avec la technologie de l’information, ce qui les rend encore plus vulnérables aux cyberinterférence.^{Note de bas de page 3}

Les activités de cybermenace ciblant les laboratoires canadiens mettent en péril l’avantage du Canada sur le plan de la recherche, ce qui comprend le vol de renseignements exclusifs ou des perturbations dans le cadre des opérations en laboratoire. Les perturbations peuvent entraîner des pertes de renseignements de recherche, des bris de confinement et l’exposition du personnel de laboratoire ou de collectivités en raison de matériel biologique dangereux.

Exposition des laboratoires aux cybermenaces

La recherche médicale et sur les sciences de la vie se fait dans des laboratoires exploités partout au Canada par des sociétés d’État et des sociétés privées. Ces laboratoires produisent, stockent, manipulent et étudient des agents pathogènes et des toxines, notamment ceux qui constituent un risque important pour la santé des chercheuses et chercheurs, et de l’ensemble de la collectivité s’ils ne sont pas correctement confinés. Les laboratoires s’appuient sur des mesures de confinement procédurales et physiques pour accomplir leur travail de façon sécuritaire. Ces mesures sont d’ailleurs mises en œuvre conformément au niveau de confinement (NC). Les laboratoires autorisés à travailler avec des agents biologiques à cote de sécurité élevée (ABCSE) sont assujettis à des contrôles additionnels de l’accès et à un filtrage de sécurité pour le personnel de laboratoire.

Les équipements et les systèmes de laboratoire deviennent de plus en plus complexes et interconnectés. En plus de l’introduction de systèmes de gestion d’immeubles connectés pour les dispositifs électriques, de circulation d’air et de contrôle de l’accès, les dispositifs de recherche en laboratoire et les systèmes de confinement vivent une transformation numérique. Le fait d’utiliser ces systèmes connectés procure aux opératrices et opérateurs de laboratoire des avantages, mais cela crée également un risque de voir des auteures et auteurs de cybermenace compromettre ces systèmes et d’en perturber le fonctionnement.

Dispositifs de recherche en laboratoire

Les chercheuses et chercheurs comptent sur de nombreux équipements de recherche pour manipuler et étudier les agents pathogènes et les toxines, y compris des appareils de mappage génomique, des microscopes électroniques, des centrifugeuses, entre autres. Ces équipements sont de plus en plus connectés et mis en réseau. Au cours des deux dernières décennies, nous avons noté un « déluge de données » lié à la recherche en laboratoire résultant de grandes quantités de données générées par des dispositifs de recherche. Pour s’adapter à cet afflux de données, les laboratoires peuvent maintenir un réseau de sciences informatiques dédié qui permet d’effectuer le transfert, le stockage et le traitement des données de recherche.^{Footnote 5}

Si des auteures et auteurs de menace compromettent ces réseaux, par exemple après avoir exploité une segmentation réseau insuffisante, ils pourraient être en mesure d’interagir avec les dispositifs qui se trouvent sur le réseau et de les manipuler. En accédant à ces dispositifs, les auteures et auteurs de menace peuvent les forcer à fonctionner de façon inattendue, voler ou manipuler les résultats de recherche, ou voler des renseignements exclusifs comme des fichiers de projet qui expliquent le fonctionnement d’un dispositif.

Systèmes de confinement

Les laboratoires s’appuient sur une technologie opérationnelle complexe pour concevoir et maintenir le confinement tout en étudiant les agents pathogènes et les toxines. Ces systèmes comprennent :

• des systèmes de ventilation pour maintenir des pressions d’air différentielles entre les zones de confinement de niveau plus élevé et plus faible, pour permettre le flux d’air vers l’intérieur dans les zones de confinement de niveau plus élevé;
• des systèmes de décontamination des effluents;
• des outils comme des enceintes et des autoclaves de biosécurité.

Bien que la transformation numérique de ces dispositifs peut procurer au personnel de laboratoire des avantages, comme le contrôle et la surveillance à distance, cela signifie aussi que ces systèmes peuvent faire l’objet d’interférence de la part d’auteures et auteurs de menace. Les perturbations que pourraient subir les systèmes de confinement pourraient entraîner des interruptions opérationnelles ou une défaillance du système de confinement faisant en sorte que le personnel ou la collectivité risquerait une exposition à des agents pathogènes et toxines dangereux.

La menace émanant des cybercriminelles et cybercriminels

Nous évaluons que les laboratoires risquent d’être victimes de cybercriminalité engendrée par le déploiement de rançongiciels et par extorsion, ou par le vol et la vente de renseignements personnels ou exclusifs. Les cybercriminelles et cybercriminels peuvent s’en prendre aux organisations en les exploitant pour obtenir un gain financier. Les laboratoires soutiennent plusieurs secteurs qui connaissent des activités de cybercriminalité plus élevées que la moyenne, y compris le secteur des soins de santé et le milieu universitaire, ce qui augmente le potentiel d’exposition accidentelle à une activité de cybercriminalité et à une exploitation. Les laboratoires peuvent être des victimes intéressantes pour les activités de cybercriminalité en raison de la valeur des renseignements qu’ils renferment et de leur vulnérabilité aux tentatives d’extorsion liée aux perturbations des opérations.

L’écosystème de la cybercriminalité en évolution

L’écosystème de la cybercriminalité est en constante évolution et il devient plus efficace, sérialisé et rentable. Les cybercriminelles et cybercriminels interagissent en ayant recours à des marchés et à des forums illégaux pour entrer en contact avec des acheteuses et acheteurs, des vendeuses et vendeurs d’outils, de services ou d’accès réseau. Un exemple représentatif de cette interaction se trouve dans la chaîne d’approvisionnement du rançongiciel comme service (RaaS pour Ransomware-as-a-Service).

La menace émanant des auteures et auteurs de menace parrainés par des États

Les activités de cybermenace parrainées par des États contre des installations de recherche, dont des laboratoires, ont atteint un sommet durant la pandémie de COVID-19. Durant cette période, les services de renseignement étranger ont réaffecté des cybercapacités sophistiquées provenant d’autres efforts pour recueillir des renseignements sur des mesures occidentales en lien à la santé publique et au développement de vaccins.^{Note de bas de page 11} Beaucoup de pays continuent de donner la priorité à l’amélioration de leur capacité biopharmaceutique et de biofabrication nationale, et dans certains cas, cela implique de recueillir des renseignements par des activités de cybermenace. De plus, les laboratoires participant à d’importants travaux de recherche sur le plan géopolitique, plus particulièrement lorsque les intérêts d’États clés sont impliqués, sont des cibles intéressantes pour les activités de cybermenace conçues pour voler ou modifier des résultats de recherche ou créer de la désinformation au sujet de la recherche.

Espionnage économique et sur la recherche : Vol des travaux de recherche et de la propriété intellectuelle du Canada

Selon nos observations, des auteures et auteurs de cybermenace parrainés par des États devraient continuer à cibler des laboratoires canadiens pour soutenir leurs capacités nationales dans le domaine biopharmaceutique et celui de la biofabrication en se livrant à l’espionnage. La capacité de recherche en laboratoire est une ressource limitée, en particulier pour les laboratoires fonctionnant sous le niveau NC3 ou NC4, ou qui travaillent avec agents biologiques à cote de sécurité élevée (ABCSE).^{Note de bas de page 12} Le vol de renseignements exclusifs issus de laboratoires est un moyen économique d’obtenir de précieux travaux de recherche sans avoir à faire d’importants investissements dans des capacités de recherche nationale.

Les laboratoires renferment une multitude de renseignements qui peuvent venir appuyer les capacités de biorecherche d’un État étranger et nuire aux intérêts économiques du Canada. Les recherches poussées dans différents secteurs sont couramment ciblées à des fins d’espionnage. Des auteures et auteurs de menace parrainés par des États mènent fréquemment des campagnes de harponnage contre des chercheuses et chercheurs occidentaux, y compris au sein des secteurs biopharmaceutiques et de fabrication. Nous évaluons que les auteures et auteurs de menace parrainés par la RPC représentent presque assurément la forme la plus courante de menace parrainée par un État visant des laboratoires du Canada. La RPC a su se doter d’une solide capacité biopharmaceutique et de biofabrication nationale, et a dans le passé utilisé une propriété intellectuelle volée pour créer un avantage concurrentiel.^{Note de bas de page 13} En plus de l’espionnage à caractère commercial, nous évaluons que les auteures et auteurs de menace parrainés par des États cherchent vraisemblablement à voler des renseignements de recherche à double usage, y compris des renseignements liés aux ABCSE, ayant une utilité militaire défensive ou offensive.

Compromission propre à des sujets précis : Surveillance et manipulation d’une recherche d’intérêt mondial

Nous évaluons que, pour mener des activités d’espionnage ou perturbatrices, des auteures et auteurs de menace parrainés par des États cibleront assurément des laboratoires axés sur la recherche liée aux exigences en matière de renseignement essentiel de cet État ou à une menace existentielle perçue. Les laboratoires contribuent à la recherche et à d’autres formes de tests qui ont d’importantes incidences géopolitiques pour des États étrangers, par exemple dans le cas d’interventions lors d’une crise sanitaire commune ou d’efforts de non-prolifération d’armes biologiques et chimiques. Nous évaluons que les laboratoires qui participent à de telles recherches, par exemple en lien avec la pandémie de COVID-19, vont presque certainement attirer des activités de cybermenace parrainées par des États avec tolérance au risque conçues pour voler, manipuler ou détruire des renseignements de recherche. En 2018, des auteures et auteurs de menace parrainés par la Russie ont projeté de compromettre un laboratoire suisse qui procédait à des tests en lien à l’empoisonnement de Serguï Skripal et de sa fille en Angleterre et à l’utilisation alléguée d’armes chimiques russes en Syrie.^{Note de bas de page 14} L’opération visait l’accès physique au laboratoire et le recours à la cyberexploitation, mais elle a pu être évitée grâce aux autorités néerlandaises et suisses.

Désinformation : Contrôler le discours international et miner la crédibilité de la recherche canadienne

Selon nos observations, il est fort probable que des auteures et auteurs de menace parrainés par des États utilisent des campagnes de désinformation pour cibler des laboratoires impliqués dans la recherche pour potentiellement porter atteinte à la réputation d’États étrangers. Ces campagnes peuvent impliquer la compromission et l’exfiltration de réseaux de laboratoire, la modification et la diffusion de renseignements sensibles. Lorsque les intérêts d’États clés sont impliqués, des États-nations peuvent avoir recours à des opérations de piratage et de divulgation pour infirmer des résultats de laboratoire et appuyer des campagnes de désinformation de l’État. Ces opérations peuvent comprendre le vol et la diffusion publique d’information sensible qui en découle; information qui a été modifiée et présentée hors contexte pour miner la légitimité des résultats. Des cas de désinformation à l’échelle internationale ont été constatés, et ceux-ci visaient à influencer la mésinformation nationale sur les questions de recherches biologiques.^{Note de bas de page 15} Les thèmes liés à la désinformation peuvent remettre en cause la légitimité des résultats, alléguer des actes tout aussi répréhensibles ou plus répréhensibles de la part de l’occident, ou miner la confiance dans la sécurité des opérations en laboratoire.

À la suite de l’interdiction pour les athlètes russes de participer aux Jeux olympiques de 2016 après qu’il ait été découvert que la Russie fournissait à ses athlètes des substances interdites, des auteures et auteurs de menace russes ont ciblé des organismes antidopage à travers le monde, notamment l’Agence mondiale antidopage de Montréal et le Centre canadien pour l’éthique dans le sport (CCES).^{Note de bas de page 16} Les réseaux du CCES ont été compromis après que des pirates informatiques russes aient mené une opération à accès fermé ciblant de hauts fonctionnaires qui assistaient à une conférence à l’étranger. Dès que les réseaux du CCES ont été compromis, les pirates ont exfiltré de l’information sensible, notamment des renseignements médicaux confidentiels sur les athlètes, comme des dérogations relatives à la consommation de substances normalement interdites.^{Note de bas de page 17} Les renseignements volés ont été publiés en ligne et intégrés aux campagnes de désinformation. Dans certains cas, le piratage psychologique a été utilisé pour amener par la ruse des journalistes à publier des renseignements comme véridiques, sans savoir qu’ils avaient été manipulés.

Hacktivistes et terroristes

Nous évaluons qu’il est improbable que des groupes terroristes ciblent des laboratoires en prenant divers moyens pour exfiltrer des données ou pour provoquer des perturbations opérationnelles. Les groupes terroristes pourraient vouloir recueillir des renseignements sur des ABCSE et leur application pour les armes biologiques comme outil pour faire avancer leurs objectifs idéologiques. Toutefois, nous ne sommes pas au courant de groupes ayant la sophistication nécessaire et l’intention de le faire par l’intermédiaire de cybercompromissions contre des laboratoires.

Nous évaluons qu’il est possible que les laboratoires soient touchés par une cybermenace peu sophistiquée, comme des attaques par DDoS menées par des hacktivistes qui sont peu susceptibles de perturber les opérations en laboratoire. Des hacktivistes prorusses ont ciblé des infrastructures essentielles occidentales depuis le début de l’invasion de l’Ukraine par la Russie, en ayant recours à des activités de cybermenace peu sophistiquées visant à intimider et à décourager le soutien envers l’Ukraine. Ces activités comprennent principalement des techniques telles que les attaques par DDoS contre des sites Web publics d’organisations du secteur des infrastructures essentielles très connues. Par exemple, en avril 2023, des hacktivistes prorusses ont mené des attaques par DDoS contre des sites Web d’infrastructures essentielles canadiennes et du gouvernement du Canada, dont celui du premier ministre.^{Note de bas de page 19}

Perspective

La cybercompromission de laboratoires peut avoir des implications importantes sur la sécurité physique, économique et nationale du Canada. Le vol de renseignements exclusifs peut mettre en péril l’avantage du Canada. La plus grande connectivité de la TO impliquée dans la recherche en laboratoire et le maintien du confinement augmente le risque qu’une cybercompromission ait des répercussions physiques, y compris l’exposition du personnel de laboratoire et de la collectivité élargie à des agents pathogènes et des toxines mortels et virulents.

Un grand nombre de cybermenaces peuvent être atténuées grâce à la sensibilisation et à l’adoption de pratiques exemplaires en matière de sécurité et de continuité des activités. Le Centre pour la cybersécurité recommande à tous les propriétaires de réseaux des infrastructures essentielles, y compris ceux qui sont responsables des réseaux de laboratoires, de prendre les mesures nécessaires pour protéger leurs systèmes contre les cybermenaces décrites dans la présente évaluation.

Consultez les ressources en ligne ci-dessous pour obtenir de l’information supplémentaire ainsi que des avis et conseils utiles :

• Introduction à l’environnement de cybermenaces
• Évaluation des cybermenaces nationales
• Évaluation des cybermenaces de base : Cybercriminalité
• Bulletin sur les cybermenaces : Les cybermenaces visant les technologies opérationnelles
• Guide sur les rançongiciels (ITSM.00.099)
• Défense contre les menaces d’exfiltration de données (ITSM.40.110)
• Facteurs à considérer sur le plan de la recherche et du développement (ITSAP.00.130)
• Protéger le matériel de recherche médicale contre les cybermenaces (ITSAP.00.134)
• Piratage psychologique (ITSAP.00.166)