Piratage de réfrigérateurs de supermarchés : des équipements anciens et des failles élémentaires exposés en Europe

En Estonie, au moins un supermarché a vu la température de ses unités de réfrigération grimper jusqu'à 50 °C. Ce n'était pas une panne. Entre la soirée du dimanche 1er novembre et la matinée du lundi 2 novembre, plusieurs dizaines de magasins belges, luxembourgeois, suédois et estoniens ont subi une cyberattaque qualifiée d'« inédite », qui visait leurs installations frigorifiques. Elle suit le même mode opératoire que celle qui avait touché la France en octobre.

En Estonie, Jann Mutso, directeur de Kitman Coldtech, fabricant et distributeur estonien de systèmes de réfrigération connectés, a indiqué au radiodiffuseur public ERR que les appareils touchés étaient d'anciens modèles livrés par Danfoss, semblables à ceux ciblés en France. « La signature est la même, mais je ne peux pas en dire davantage », a-t-il précisé.

En Suède, la chaîne Ica a connu des problèmes de réfrigération. Sa porte-parole, Helena Johansson, a expliqué que tous les magasins concernés étaient reliés à un système externe de contrôle fourni par le fabricant danois Danfoss. Chez Coop, six des quelque 800 magasins ont été touchés. Le porte-parole Carlos Cancino a dit à l'AFP que le groupe ignorait qui était derrière l'attaque, mais que ces six magasins étaient connectés à un réseau mobile 4G plutôt qu'au système 5G mis à jour, ce qui les rendait « plus exposés ». Après l'attaque française, Danfoss avait déclaré à l'AFP que la plupart des équipements touchés étaient des produits anciens qui « ne reçoivent plus de mises à jour logicielles ou de sécurité ». Personne n'a revendiqué les attaques.

Selon Antoine Hautin, secrétaire général du cabinet de conseil en cybersécurité Almond, les équipements industriels comme les groupes frigorifiques, longtemps isolés d'internet, sont désormais connectés pour être supervisés et pilotés à distance. Kévin Tellier, ingénieur chez Synacktiv, décrit le dispositif : le plus souvent une interface web, où l'on se connecte avec un mot de passe pour choisir la température appliquée aux réfrigérateurs. Ces interfaces devraient rester dans un réseau fermé, inaccessible depuis internet. Or certaines étaient exposées à quiconque possédait quelques connaissances.

En France, le directeur de l'Anssi, Vincent Strubel, a attribué l'attaque d'octobre à des « défauts de sécurisation élémentaires » : équipements frigorifiques directement exposés sur internet, administrés sans protection particulière, mots de passe faibles. France info relève que les frigos français apparaissaient dans des annuaires en ligne, et qu'il suffisait de deviner le mot de passe. Pour Kévin Tellier, l'attaque n'étant pas très sophistiquée, on ne peut pas déterminer si son auteur dispose de moyens importants : ce « peut être n'importe qui ».

Olivier Daloy, expert chez Zscaler, distingue deux scénarios : l'exploitation d'une faille technique ou l'usage d'identifiants compromis. Sans protections adaptées, estime-t-il, n'importe quelle usine ou matériel connecté, dans l'automobile, l'énergie ou les transports, peut subir le même sort. Un expert resté anonyme souligne que les infrastructures industrielles sont vulnérables parce qu'elles associent systèmes informatiques et équipements physiques, dont certains sont anciens.

Pour de nombreux experts, ces attaques trahissent un manque d'anticipation : ces équipements n'ont pas été conçus pour la vitesse d'évolution des cybermenaces. Sur BFM, Benoît Grünemwald, de la société Eset, a invité la grande distribution à s'inspirer des secteurs critiques, où les bonnes pratiques existent depuis longtemps. Le commissaire européen à l'Agriculture, Christophe Hansen, avait jugé que la sécurité alimentaire demande davantage d'attention à tous les niveaux et que « viser l'alimentation » est désormais une réalité.

Ascenseurs, chauffage de bâtiments, babyphones : les experts les plus alarmistes y voient des cibles possibles. Reste à savoir qui a agi, aucune revendication n'ayant été formulée à ce stade.