La fuite de fichiers contractuels liés à la centrale nucléaire de Kudankulam, mise en ligne sur le dark web, met en lumière la nécessité pour l’Inde de revoir ses règles d’achat pour mieux protéger ses systèmes critiques et renforcer la cyberrésilience.
## Détails de l’incident
Le 14 juillet, la Nuclear Power Corporation of India Ltd (NPCIL) a signalé qu’un groupe de rançongiciels appelé World Leaks avait ciblé des fichiers associés à la centrale via un serveur externe exploité par un prestataire privé. Les documents exposés — plans techniques, informations sur les fournisseurs, rapports d’inspection et revues d’équipement — ont été retrouvés sur le dark web. L’incident a été classé de gravité moyenne par les autorités, la sécurité physique de la centrale n’ayant pas été immédiatement menacée.
## Un second signal d’alarme pour la sécurité nucléaire indienne
Il s’agit du deuxième incident majeur touchant Kudankulam depuis 2019, lorsque le groupe Lazarus, lié à l’État nord-coréen, avait tenté de pénétrer le réseau administratif de la centrale en utilisant le malware DTrack. Kudankulam reste la seule centrale indienne exploitant des réacteurs à eau sous pression, ce qui amplifie l’importance de sécuriser ses chaînes d’approvisionnement et ses prestataires externes.
## Mesures annoncées par la NPCIL — nécessaires mais partielles
Pour répondre à la fuite, la NPCIL a listé plusieurs mesures correctives : audits renforcés des prestataires et des centres de données tiers, chiffrement renforcé des documents classifiés et surveillance continue du dark web. Ces actions visent à limiter la réutilisation et la diffusion des données compromises, mais elles traitent principalement les conséquences plutôt que la cause profonde de la vulnérabilité.
## Renforcer la cyberrésilience par la réforme des achats
Le recours à des serveurs et services fournis par des prestataires privés souligne la faiblesse d’un cadre d’achat qui n’impose pas toujours des exigences de sécurité strictes. Pour améliorer la cyberrésilience, les politiques de passation des marchés doivent intégrer des obligations claires sur la sécurité des fournisseurs, des audits indépendants, des exigences de chiffrement et des mécanismes de surveillance et de contrôle tout au long du cycle de vie des contrats. Sans ces réformes, les mesures techniques resteront incomplètes face aux risques d’espionnage et d’attaques ciblant la chaîne d’approvisionnement.
Le signal envoyé par la fuite de Kudankulam dépasse le dossier d’un prestataire : il met en évidence la nécessité d’une stratégie nationale liant exigences techniques et règles d’achat pour protéger les infrastructures critiques et réduire la surface d’attaque.
