Les réfrigérateurs et les congélateurs de Carrefour, Delhaize Intermarché et Spar touchés trois semaines après la France

Plusieurs dizaines de de points de vente touchés, voire plus d’une centaine. Après la France, la Belgique, le Luxembourg et la Suède sont touchés. L’extension rapide du même mode opératoire à des supermarchés confirme qu’il s’agit d’une menace structurelle.

« Cela n’est pas survenu de nulle part, commente Vincent Defrenne, Partner, Cyber Strategy & Architecture, NVISO. Il y a trois semaines, nous avons observé exactement la même chose en France. Et pourtant, en Belgique, des installations de refroidissement étaient encore connectées à Internet sans aucune protection… »

Même scénario, mêmes conséquences. La cyberattaque massive de ce lundi matin rappelle celle menée dans la nuit du 11 au 12 octobre contre les enseignes Carrefour, Coopérative U, E.Leclerc et Intermarché. En piratant les contrôleurs de froid connectés -notamment du fournisseur Danfoss- pour forcer le dégivrage et faire monter la température jusqu’à 50 °C, voire 70 °C, les attaquants ont causé des dizaines de millions d’euros de pertes en forçant la destruction de tonnes de nourriture.

L’extension rapide de ce même mode opératoire à des supermarchés en Belgique, au Luxembourg et en Suède confirme qu’il s’agit d’une menace structurelle. De fait, le mode opératoire est identique : des pirates ont pris le contrôle à distance des systèmes de régulation thermique des installations frigorifiques -notamment des équipements utilisant des solutions connectées comme celles de la marque Danfoss.

La méthode d’attaque : modification des paramètres à distance pour basculer les évaporateurs et les congélateurs en mode dégivrage forcé, faisant grimper brusquement la température et détruisant les stocks de produits frais et surgelés. L’évaluation des spécialistes, enfin : les experts en cybersécurité et les professionnels de la maintenance frigorifique, comme la société Sabcobel, confirment qu’il s’agit du même type d’intrusion et que les vulnérabilités exploitées en Belgique et dans les pays voisins s’inscrivent directement dans la continuité de l’attaque massive survenue en France.

Un risque qui concerne tous les secteurs

Les systèmes frigorifiques, à nouveau. « Et c’est tout le problème, souligne Mathias Caluwaert, Strategic Advisor, Cyber Resilience, Orange Cyberdefense. Ces installations bénéficient souvent de moins d’attention en matière de cybersécurité que les ordinateurs portables, les serveurs et les applications métier. Elles relèvent de l’OT. »

Or, on le sait, dans la restauration, la logistique ou l’industrie, les installations connectées et les outils de gestion peuvent représenter des points de vulnérabilité. « Ces installations ont des exigences différentes de celles d’un ordinateur. Une mise à jour de sécurité ou un redémarrage doit, par exemple, tenir compte de la nécessité d’assurer la continuité de la réfrigération. Cela exige une coordination entre le service technique, l’IT et le prestataire de maintenance. »

Mais, voilà : personne ne se sent responsable de ce risque, constate Vincent Defrenne. « Toute entreprise disposant d’installations techniques commandées à distance, qu’il s’agisse de climatisation, de chauffage ou de contrôle d’accès, doit aujourd’hui vérifier ce qui est accessible en ligne. » 

Les incidents survenus en France montrent où le bât blesse

Le CERT-FR a confirmé que les attaques avaient visé des systèmes Danfoss ainsi que la solution XWEB de Copeland. Le rapport d’Orange Cyberdefense met notamment en évidence des contrôleurs directement accessibles depuis Internet et des mots de passe prévisibles, dérivés de la date. La vulnérabilité exacte exploitée ou la méthode d’accès utilisée par les attaquants n’a toutefois pas été établie de manière définitive.

De tels systèmes sont également accessibles en ligne en Belgique. Selon une mesure de Modat citée par le CERT, environ 970 systèmes Danfoss et 123 systèmes Copeland étaient accessibles depuis Internet. « Il ne s’agit pas du nombre d’installations piratées, précise Mathias Caluwaert. Ces chiffres montrent néanmoins combien de systèmes pourraient nécessiter un contrôle plus approfondi de leur exposition et de leur niveau de sécurité. »

Qui gère les accès à des fins de maintenance ?

L’accès à distance est pratique pour un prestataire de maintenance. Il lui permet de vérifier les réglages ou de diagnostiquer une panne sans devoir se déplacer jusqu’au magasin. Mais cette connexion doit elle aussi être sécurisée et faire l’objet d’un suivi.

« C’est souvent à ce niveau que des zones d’ombre apparaissent, continue Mathias Caluwaert. Le service technique gère l’installation, un fournisseur assure la maintenance et l’IT surveille le réseau de l’entreprise. Mais qui vérifie si le contrôleur frigorifique est directement accessible depuis Internet ? Qui gère les comptes utilisateurs ? Et qui décide du remplacement d’un équipement obsolète ? »

Les mêmes questions se posent pour les systèmes de gestion technique des bâtiments, les contrôles d’accès et les installations industrielles dans d’autres secteurs. Cela ne signifie pas que ces équipements ont été touchés par les attaques en question. Cela souligne en revanche la nécessité, pour les organisations, de savoir précisément qui est responsable de leur sécurité.

Une situation propre à l’OT

D’autant que la menace évolue aussi avec les capacités des attaquants, notamment grâce à l’IA. Elle permet par exemple d’automatiser certaines étapes des opérations, repérer plus rapidement des vulnérabilités et multiplier les tentatives d’intrusion : « Aujourd’hui, avec l’IA, on parle de quelques heures, voire de quelques minutes, observe Vincent Defrenne. Le problème, c’est que les attaquants sont de plus en plus rapides, alors que les entreprises ont besoin de beaucoup plus de temps pour corriger les failles et mettre leurs systèmes à jour. »

La situation est propre à l’OT : ces systèmes sont souvent gérés par un installateur externe et échappent ainsi au contrôle du responsable informatique ou de la sécurité.

« Ces systèmes ne devraient pas être directement connectés à Internet, mais uniquement via une connexion sécurisée. Et les petits exploitants qui ne disposent pas de leur propre équipe de sécurité doivent simplement poser cette question à leur installateur. »

Bien plus qu’une simple mise à jour logicielle

D’ores et déjà, plusieurs leçons majeures peuvent être tirées de ce nouvel incident. Un : la cybersécurité doit intégrer l’IOT et les systèmes industriels. Ce qui veut dire protéger les processus, pas seulement les données. Cette attaque démontre -une fois encore- que le piratage d’installations physiques et techniques peut paralyser une entreprise de manière tout aussi dévastatrice. Deux : le danger des accès distants mal sécurisés. La possibilité pour les techniciens de régler la maintenance à distance a ouvert une brèche majeure. Les accès distants industriels doivent être drastiquement verrouillés (utilisation de réseaux privés virtuels (VPN) stricts, authentification multifacteur). Trois, l’obsolescence logicielle est un risque opérationnel majeur. C’est le piège des systèmes « morts ». En France, le fabricant Danfoss a précisé que la majorité des installations touchées utilisaient des versions logicielles obsolètes dont le support de sécurité avait pris fin.  

Enfin, comme l’ont souligné les experts après l’attaque, une simple mise à jour logicielle est parfois impossible sur du vieux matériel. Sécuriser ces infrastructures nécessite d’investir pour isoler physiquement les machines d’Internet ou passer par des connexions réseau ultra-sécurisées.

André Woot et Alain de Fooz