Revirement concernant la panne massive de réseau ayant frappé Post, mercredi. Il s’est finalement avéré que le bug de logiciel avait été provoqué par une cyberattaque. Son origine reste inconnue.

Jeudi, au lendemain du crash passager des services de Post, le directeur général, Claude Strasser, avait bien précisé qu’il n’existait «à ce stade (…) pas d’indices pour une cyberattaque». Les services techniques, notamment en charge de la cybersécurité, poursuivaient toutefois leurs investigations pour identifier de manière plus précise la raison du bug majeur d’un logiciel, à la base de la panne généralisée des réseaux.

Celles-ci ont finalement mené à un revirement par rapport au premier état des lieux dressé par Post. Peu avant 17 h, vendredi, le gouvernement a annoncé que le Premier ministre, Luc Frieden, avait convoqué une nouvelle réunion de la cellule de crise. En cause, la confirmation par les dirigeants du principal opérateur de télécommunications que son infrastructure avait bien été victime d’une cyberattaque.

L’attaque aurait été «d’un niveau technique particulièrement avancé et sophistiqué». «Cette opération malveillante a exploité une vulnérabilité logicielle (…) pour provoquer un dysfonctionnement à grande échelle et une indisponibilité généralisée des services», précise Post Luxembourg dans un communiqué de presse.

Le fait que la cyberattaque ait visé un logiciel de pilotage des équipements techniques de Post a eu comme effet un écroulement de la robuste architecture des réseaux, reposant sur une double, voire une triple redondance des équipements.

Dès jeudi, le directeur général, Claude Strasser, avait évoqué un «bug très ciblé et limité, mais avec un impact sur la totalité des services», dont l’accès à internet, les réseaux mobiles 4G et 5G ou encore les téléphones fixes. Les clients de Post n’ont plus été en mesure de joindre les services d’urgence et de secours (112 et 113), les paiements par carte bancaire dans les commerces ont été impactés, des vols au Findel déroutés ou retardés.

La panne a été identifiée vers 16 h 15 et a duré jusqu’à 19 h 50. «Des contre-mesures ont été mises en œuvre par les équipes techniques dès la soirée du 23 juillet (…). Ces mesures se sont avérées efficaces et continuent de garantir la stabilité et la sécurité des services», informe Post.

Il n’a toutefois pas encore été possible «d’identifier l’origine ou l’auteur» de la cyberattaque. «Les analyses internes se poursuivent en collaboration avec les autorités compétentes», indique le même communiqué.

Selon le gouvernement, le Haut-Commissariat à la Protection nationale (HCPN) a été chargé de coordonner «l’analyse détaillée de l’incident et de ses répercussions, en étroite collaboration avec tous les acteurs concernés, afin d’élaborer les mesures visant à augmenter la résilience des systèmes essentiels».

Les hôpitaux n’ont pas été informés

Ce qui est confirmé, en revanche, c’est que l’attaque «n’a pas permis d’intrusion dans les systèmes internes de Post». Par conséquent, «aucune donnée n’a été compromise ou exfiltrée. Cette attaque visait à perturber le fonctionnement des services», détaille l’opérateur dans son communiqué.

La direction de Post Luxembourg dit préparer une dénonciation des faits au parquet.

En attendant la poursuite du travail d’analyse et l’ouverture potentielle d’une enquête judiciaire, bon nombre de questions se posent sur la résilience des systèmes de télécommunication en cas de rupture d’un réseau. L’impossibilité pour les clients de Post de contacter le 112 ou le 113 pèse lourdement. Les responsables du CGDIS évoquent d’ailleurs une situation inédite.

«Ce qui s’est passé est très grave. Cela démontre la fragilité d’un pays», soulignait, jeudi, le Premier ministre, Luc Frieden. Les enseignements et leçons qui seront tirés de la panne de mercredi devraient être intégrés dans la stratégie nationale de résilience, en cours d’élaboration. «L’État et toutes ses ramifications – le 112, le 113, les hôpitaux – doivent être opérationnels à tout moment, peu importe quel est le choc externe», insiste le chef du gouvernement.

Il s’est avéré vendredi que les établissements hospitaliers n’avaient pas été mis au courant de la panne. Le Dr Marc Berna,  directeur général des hôpitaux Robert-Schuman, a déploré cette absence de communication sur les ondes de la radio 100,7.