Pannes mystérieuses : un constructeur bloque les trains lorsqu’ils sont réparés par des tiers

Un drame inhabituel sur le « droit à la réparation » perturbe le trafic ferroviaire en Pologne : des pirates informatiques ont aidé à réparer des trains qui auraient été conçus pour tomber en panne lorsqu’ils étaient entretenus par une entreprise autre que le constructeur ferroviaire Newag.

Publicité

En juin 2022, l’atelier de réparation ferroviaire Serwis Pojazdów Szynowych (SPS) a demandé aux membres d’un groupe de hackers éthiques appelé Dragon Sector, dont Sergiusz Bazański et Michał Kowalczyk, d’analyser le logiciel du train. SPS a désespérément recherché la cause des « pannes mystérieuses » qui ont mis hors service plusieurs véhicules des chemins de fer polonais de Basse-Silésie, comme l’a rapporté le magazine polonais spécialisé dans les infrastructures Rynek Kolejowy. À cette époque, le manque de trains était déjà devenu un « sérieux problème » pour les transporteurs et les passagers, car moins de voitures disponibles signifiaient des trains plus courts et une capacité de passagers réduite, a rapporté Rynek Kolejowy.

Des trains « volontairement paralysés »

Pendant deux mois, Dragon Sector a analysé le logiciel et conclu que “les interventions du constructeur” ont abouti à des “pannes forcées” car “les trains n’ont pas démarré” et que les trains ont été “intentionnellement désactivés par Newag”.

Selon Dragon Sector, Newag a intégré un code dans les systèmes de contrôle des trains Impulse qui les empêche de fonctionner si un traceur GPS indique que le train est garé dans un atelier indépendant depuis plusieurs jours.

Les trains “ont été conçus avec la logique qu’ils ne bougeraient pas s’ils étaient garés à un endroit spécifique en Pologne, et ces emplacements étaient le hall de maintenance du SPS et les halls d’autres entreprises similaires du secteur”, » a réclamé l’équipe du secteur Dragon. “Même un des halls du SPS, encore en construction, a été pris en compte.”

Le code aurait également provoqué la défaillance du train si « certains composants étaient remplacés sans numéro de série approuvé par le fabricant ». signalé 404 médias.

Dans un communiqué, Newag a nié celaaccusant Dragon Sector d’avoir développé un soi-disant « logiciel de détection de garage » qui a provoqué des « échecs intentionnels » et menaçant Dragon Sector de poursuites pour diffamation et violation des « lois sur le piratage ».

Réaction du constructeur ferroviaire Newag

“Le piratage des systèmes informatiques constitue une violation de nombreuses dispositions légales et une menace pour la sécurité du transport ferroviaire”, a déclaré Newag, insistant pour que les trains piratés soient retirés du service car ils constitueraient désormais un risque pour la sécurité. Les affirmations de Newag en matière de sécurité restent infondées, a rapporté 404 Media.

“Nous nions catégoriquement que Newag ait téléchargé des fonctions dans les systèmes de contrôle des véhicules qui limitent ou empêchent le bon fonctionnement des véhicules, ainsi que limitent le cercle des entreprises pouvant fournir des services d’entretien ou de réparation”, indique le communiqué de Newag. Il ne faut pas se fier au rapport de Dragon Sector car il a été commandé par l’un des plus grands concurrents de Newag.

Dragon Sector affirme que les preuves étayent leurs conclusions. Bazański a écrit sur Mastodon, que “ces trains ont été bloqués pour des raisons arbitraires après avoir été entretenus dans des ateliers tiers. Le constructeur a fait valoir que cela était dû à une faute professionnelle de la part des ateliers et que les trains devaient être entretenus par lui-même et non par des tiers”. Dans certains cas, selon Bazański, “Newag semblait pouvoir bloquer le train à distance”.

Newag a déclaré que « toute intervention à distance est pratiquement impossible ».

La menace de poursuites ne fait pas taire les hackers

Dragon Sector a remis les trains en marche après avoir « découvert un « code de déverrouillage » non documenté qui pouvait être saisi dans le bureau de l’opérateur ferroviaire et qui a résolu le problème comme par magie », a déclaré l’équipe de Dragon Sector à 404 Media.

Newag a insisté à plusieurs reprises sur le fait que l’entreprise n’avait jamais « construit et n’intégrera pas de solutions dans les logiciels de nos trains qui conduisent à des erreurs intentionnelles ».

“Nous ne savons pas qui est intervenu sur le logiciel de contrôle des trains, avec quelles méthodes et avec quelles qualifications”, a précisé Newag. “Nous en avons également informé l’Office fédéral des transports afin qu’il puisse décider de retirer du service les trains qui ont été exposés aux activités des pirates inconnus.” Dragon Sector et SPS nient avoir interféré avec les systèmes de contrôle du train.

Alors que Newag a contacté les autorités pour enquêter sur le piratage, a écrit Janusz Cieszyński, ancien ministre polonais du numérique, sur Xque les preuves semblent être contre Newag.

“Le président du Newag m’a contacté”, a écrit Cieszyński. “Il affirme que Newag a été victime de cybercriminels et qu’il ne s’agit pas d’une action délibérée de la part de l’entreprise. L’analyse que j’ai vue suggère le contraire, mais par souci de clarté, j’écrirai sur tout.”

Le président de Newag, Zbigniew Konieczek, a déclaré qu'”aucune preuve n’a été fournie que notre entreprise a intentionnellement installé le logiciel défectueux. À notre avis, la vérité pourrait être complètement différente – par exemple, que des concurrents ont interféré avec le logiciel”. Konieczek a également accusé Cieszyński de diffuser « des informations fausses et extrêmement préjudiciables sur Newag ».

404 Les médias ont noté que Newag semble suivre un modèle courant dans le monde du droit à la réparation, dans lequel les fabricants intimident les ateliers de réparation concurrents avec des menaces de poursuites et des allégations infondées sur les risques de sécurité associés aux réparations par des tiers. Pour l’instant, Dragon Sector ne semble pas intimidé. Le groupe a publié son succès sur YouTube et leurs résultats ont été discutés lors de la conférence polonaise Oh My H@ck à Varsovie. Le groupe prévoit également “une présentation plus détaillée” pour le 37e Chaos Communication Congress à Hambourg fin décembre, rapporte The Register.

Sur la base des preuves recueillies lors de l’analyse, l’équipe de Dragon Sector doute que Newag donne réellement suite au procès. “Leur ligne défensive est vraiment mauvaise et ils n’auraient aucune chance de la défendre”, a déclaré Kowalczk à 404 Media. “Ils veulent probablement juste paraître effrayants dans les médias.”

Cet article a été initialement publié sur Ars Technica.

(jl)