Si un attaquant sait ce qu’il fait, il peut forcer furtivement les fluctuations de prix au service du profit, du chaos ou des deux. Les chercheurs ont utilisé des données réelles et accessibles au public des marchés de New York et de Californie entre mai 2018 et mai 2019 pour étudier les fluctuations à la fois du «marché journalier» qui prévoit la demande et du «marché en temps réel», dans lequel acheteurs et vendeurs corriger les erreurs de prévision et les événements imprévisibles comme les catastrophes naturelles.

En modélisant la puissance que divers botnets IoT hypothétiques de haute puissance pourraient tirer et en analysant les données du marché, les chercheurs ont conçu deux types d’attaques potentielles qui modifieraient la tarification de l’énergie. Ils ont compris jusqu’où les pirates pouvaient pousser leurs attaques sans que l’activité malveillante ne déclenche des signaux d’alarme.

Tohid Shekari, candidat au doctorat au Georgia Institute of Technology qui a contribué à la recherche, avec sa collègue doctorante Celine Irvine et le professeur Raheem Beyah, ont déclaré que le rapport supposait l’accès à un botnet IoT de haute puissance.

« Dans nos scénarios, l’attaquant 1 est un acteur du marché; il essaie essentiellement de maximiser son propre profit. L’attaquant 2 est un acteur de l’État-nation qui peut causer des dommages financiers aux acteurs du marché dans le cadre d’une guerre commerciale ou d’une guerre froide. de l’une ou l’autre des attaques consiste à examiner la sensibilité à la charge de prix. Si nous modifions la demande d’un pour cent, dans quelle mesure le prix va-t-il changer en conséquence? Vous voulez optimiser l’attaque pour maximiser le gain ou les dégâts. « 

Un attaquant pourrait utiliser la puissance de son botnet pour augmenter la demande, par exemple, lorsque d’autres entités parient qu’elle sera faible. Ou ils pourraient parier que la demande augmentera à un certain moment avec la certitude qu’ils peuvent y arriver. « Les chercheurs préviennent que, sur la base de leur analyse, des fluctuations de la demande beaucoup plus faibles que ce à quoi vous pourriez vous attendre pourraient affecter les prix, et qu’il faudrait aussi peu que 50 000 appareils infectés pour déclencher une attaque percutante », ajoute le rapport.

«Les consommateurs dont les appareils sont involontairement enrôlés dans un botnet de haute puissance ne remarqueront probablement rien d’anormal; les attaquants pourraient intentionnellement allumer des appareils pour tirer le courant tard dans la nuit ou pendant que les gens sont susceptibles d’être hors de la maison. Les chercheurs ont calculé que Les campagnes de manipulation du marché entraîneraient, tout au plus, une augmentation de 7% des factures d’électricité des consommateurs, probablement suffisamment faible pour passer inaperçue.  »

Les chercheurs affirment que les manipulateurs de marché pourraient rapporter jusqu’à 245 millions de dollars par an et causer jusqu’à 350 millions de dollars par an en dommages économiques.