L’attaque visant les systèmes de réfrigération des supermarchés français pourrait-elle se produire en Belgique ? Oui, assure Approach Cyber
Des frigos chauffés à 50 °C : une cyberattaque hors norme dans des centaines de supermarchés français. Serons-nous épargnés en Belgique ?
D’autres pays pourraient être touchés ont fait savoir les enquêteurs français. Jean-François Stenuit, Senior Cybersecurity Consultant, Approach Cyber, confirme.
« Un examen rapide, réalisé le 12 octobre à l’aide d’outils de détection d’objets connectés -en ciblant le titre de la page web ou la signature du ‘favicon’ des contrôleurs- a révélé qu’environ 700 équipements Danfoss sont exposés à Internet en Belgique. Parmi eux, près de 400 semblent utiliser une version vulnérable. Plusieurs chaînes de distribution belges, dont certaines de grande envergure, figurent parmi les entités concernées… »
Pertes de marchandises, mais aussi risque de départ de feu. Face à ces risques, l’ANSSI demande une déconnexion urgente d’Internet ou, au minimum, un filtrage réseau très restrictif. L’implication d’équipements Danfoss, un groupe industriel danois, a été confirmée par un bulletin du CERT-FR, qui indique avoir connaissance de nombreuses compromissions de contrôleurs des séries AK-SM et AK-SC. Et d’appeler à déconnecter ou filtrer leur accès rappelant que l’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques.
La partie émergée de l’iceberg
« Les congélateurs des supermarchés ne constituent que la partie émergée de l’iceberg, continue Jean-François Stenuit. Nous sommes face à une pratique de cybersécurité problématique, observée dans tous les secteurs qui dépendent de contrôleurs IoT. Souvent, par souci de facilité ou par manque de sensibilisation, les intégrateurs informatiques et les responsables de la maintenance de ces équipements optent pour la pire solution possible pour accéder à un appareil à distance : ils ouvrent un port sur le pare-feu ou le routeur et le redirigent vers l’appareil ! »
Pour sa défense, l’industriel danois a expliqué au média spécialisé « Le Monde des surgelés » que la majorité des unités concernées sont des AK-SM800 et AK-SC355, arrivés en fin de vie et ne recevant plus de mises à jour logicielles. Les premiers touchés utilisaient, selon le fabricant, un firmware obsolète.
L’entreprise indique, par ailleurs, accompagner les clients dans les mesures de protection et avoir recommandé depuis longtemps la mise à jour des produits pris en charge ou le remplacement des anciens.
Ouvrir un port, c’est exposer l’appareil à Internet
Pour Jean-François Stenuit, une objection courante consiste à dire : « Mon appareil n’est pas directement sur Internet ; il est protégé par notre pare-feu, nous n’avons ouvert qu’un seul port. » Or, c’est précisément ce que signifie une exposition directe. Une redirection de port expose l’interface web de l’appareil à l’ensemble d’Internet, le pare-feu se contentant de laisser passer le trafic. N’importe qui -y compris un outil de scan automatisé- peut alors atteindre l’appareil, le tester et exploiter ses vulnérabilités, sans qu’aucun VPN ni mécanisme d’authentification ne fasse office de rempart.
L’éléphant dans la pièce
« Personne n’en parle. Pourtant, tous les professionnels du secteur savent qu’un appareil IoT exposé sur un port quelconque, accessible depuis Internet, finira tôt ou tard par être victime d’une vulnérabilité. Les intégrateurs le savent, les équipes de maintenance le savent, et les clients qui paient pour ce service s’en doutent souvent ! Pourtant, la pratique perdure : elle est rapide, peu coûteuse, et rien ne semble dysfonctionner… jusqu’au jour où tout bascule. Un port ouvert ‘temporairement’ pour un technicien a, bien souvent, tendance à le rester indéfiniment. »
L’attaque observée en France n’a nécessité aucune technique complexe : identifier des équipements vulnérables via des outils de scan, exploiter la faille, puis régler la température à 50 °C. La sophistication réside ailleurs : dans la simultanéité de l’opération, touchant des centaines de magasins appartenant à plusieurs enseignes. Un tel niveau de coordination témoigne d’une préparation minutieuse et prouve que cette vulnérabilité est connue et exploitable à grande échelle.
Quelle est la solution ?
La réponse classique tient en deux mots : patch management ! Mais dans l’univers de l’IoT, tout le monde sait que les équipements en fin de vie restent en service simplement parce qu’ils « fonctionnent encore.
« La véritable solution réside dans une segmentation réseau rigoureuse : placer les équipements IoT derrière des pare-feu, et restreindre l’accès à distance via un VPN et des serveurs rebonds (jump hosts). Surtout, insiste Jean-François Stenuit, une règle d’or s’impose : ne jamais exposer un équipement directement sur Internet -car ouvrir un port revient précisément à cela ! »
Et dans votre entreprise ?
Cette cyberattaque met également en lumière les conséquences très concrètes que peut avoir un incident de cette ampleur. Au-delà de la destruction des stocks, les distributeurs doivent prendre en charge les interventions techniques, les éventuels remplacements de contrôleurs, le réapprovisionnement et les pertes d’exploitation.
Quelle est votre situation ? Savez-vous quels équipements de votre parc sont actuellement accessibles depuis Internet ? Approach Cyber peut évaluer votre niveau d’exposition et vous aider à renforcer votre infrastructure grâce à AXS Guard, notre solution de pare-feu développée en Belgique.
