Changement de dimension, premières attaques cyberphysiques

Quand une intrusion numérique provoque des dégâts matériels directs dans le monde reel. Les systèmes de réfrigération, longtemps considérés comme de simples installations techniques, sont devenus des infrastructures numériques à part entière. Interview de Vincent Defrenne, Partner, Cyber Strategy & Architecture, NVISO

° Pourquoi une deuxième vague d’attaques a-t-elle pu se produire quelques semaines seulement après les premiers incidents en France ? Les entreprises n’avaient-elles pas eu le temps de corriger les vulnérabilités ?

Il faut d’abord comprendre que nous ne sommes pas face à un problème limité à quelques supermarchés ou à un seul pays. Les incidents signalés concernent plusieurs marchés européens et différents acteurs de la distribution. L’équipement incriminé, de Danfoss, est commercialisé mondialement. Cela montre que la surface d’exposition est beaucoup plus large que ce que l’on pouvait initialement imaginer.

Après les premiers événements, il a fallu identifier les équipements concernés, informer les frigoristes sur les possibles mesures de remédiation, déterminer quels clients et quelles installations étaient potentiellement exposés, les contacter, pour enfin planifier les opérations de maintenance pour installer les mises à jour, ou de remplacement pour éliminer les équipements ne pouvant plus être mis à jour.

Cette chaîne de valeur est particulièrement complexe. On retrouve les enseignes, les franchisés, les gestionnaires des installations frigorifiques, les sociétés de maintenance, les fabricants de matériel et les éditeurs de logiciels. Chaque acteur possède une partie de la responsabilité opérationnelle, mais aucun ne dispose nécessairement d’une vision complète de l’environnement technique.

Dans l’attaque qui nous concerne, le vecteur d’attaque était un petit appareil qui gère la température des frigos, une sorte de vanne thermostatique digitale et connectée. Cette connexion qui permet de surveiller l’état des équipements, de programmer les cycles de fonctionnement, de gérer les horaires et de déclencher certaines opérations automatiquement.

L’avantage de ces systèmes digitalisés, c’est donc d’être accessibles à distance : en cas de dysfonctionnement, on est ainsi alerter et on peut réagir rapidement, évitant l’interruption de la chaîne de froid. Mais le problème, c’est que ces systèmes ont souvent été connectés directement à internet, les rendant directement interrogeable à distance par n’importe qui. Tant que le système est sécurisé, cela n’est pas si grave. Mais si une vulnérabilité est découverte dans ce système, qui est installé dans des milliers d’entreprises partout dans le monde, elle peut être directement exploitée par internet, et cela partout dans le monde où un tel équipement est directement accessible depuis internet.

° Techniquement, comment peut-on prendre le contrôle d’un système de réfrigération et provoquer une élévation aussi importante des températures ?

Il faut distinguer l’appareil industriel en tant que tel – le frigo, donc – du système informatique qui le pilote – dans ce cas, le thermostat connecté qui commande physiquement les équipements.

Dans une installation frigorifique moderne, plusieurs composants communiquent entre eux : des capteurs mesurent les températures et les pressions, des automates ou contrôleurs gèrent les compresseurs et les évaporateurs, tandis qu’une plateforme de supervision centralise les informations et permet aux techniciens d’intervenir à distance.

Cette architecture relève de l’OT (Operational Technology). Contrairement à l’informatique traditionnelle, qui traite essentiellement des données, l’OT agit directement sur le monde physique.

Si un attaquant obtient un accès non autorisé à un contrôleur d’équipement industriel, il peut potentiellement modifier des consignes de température, perturber les cycles de refroidissement ou intervenir sur les séquences de dégivrage. Une opération normale de dégivrage peut devenir problématique lorsqu’elle est déclenchée de manière malveillante ou répétée.

Le risque est donc concret : une intrusion numérique peut provoquer une défaillance physique, détruire des stocks alimentaires et perturber directement l’activité commerciale.

Il ne s’agit pas nécessairement d’une attaque particulièrement sophistiquée; l’exploitation d’un accès distant insuffisamment protégé, d’un logiciel obsolète ou d’identifiants faibles peut parfois suffire. Une attaque peut ainsi produire des conséquences économiques importantes sans compromettre les systèmes informatiques centraux d’une enseigne.

° Pourquoi les équipements techniques connectés constituent-ils encore un angle mort de la cybersécurité des entreprises ?

C’est une problématique qui dépasse largement les installations frigorifiques. Elle concerne l’ensemble de l’IoT, et plus particulièrement les équipements industriels et techniques connectés.

Longtemps, la cybersécurité a été pensée autour des ordinateurs, des serveurs, des applications métiers et des réseaux informatiques. Les équipements industriels n’étaient pas percus comme soumis aux même risques, notamment parce qu’au sein des organisations les exploitant, ces appareils étaient gérés par des spécialistes de la maintenance industrielle plutôt que par les équipes IT.

Cette distinction n’existe pratiquement plus. Les systèmes de chauffage, de ventilation, de climatisation, les ascenseurs, les caméras, les alarmes et les installations frigorifiques sont désormais pilotés par des équipements dits intelligents, des mini ordinateurs avec leur propre logiciel. Ils se retrouvent intégrés dans des environnements connectés. Ils peuvent communiquer avec des plateformes cloud ou être administrés par des prestataires externes.

° L’angle mort se situe souvent dans la gestion des connexions et des identités. Qui est autorisé à accéder à une installation ? Depuis quel réseau ? Avec quels droits ? Pendant combien de temps ? Les accès des techniciens sont-ils individuels, tracés et révoqués lorsqu’un contrat prend fin ?

Dans beaucoup d’environnements, les opérations de maintenance ont été automatisées pour gagner du temps et réduire les coûts : elles se reposent donc sur des équipements intelligents, digitaux, disseminés au sein des environnements industriels et opérationnels. De la gestion de la lumière au système d’alarme, des frigos aux fours, tout peut être piloté et suivi à distance. Mais une connexion permanente, lorsqu’elle n’est pas suffisamment contrôlée, constitue une porte d’entrée potentielle.

Il existe également un problème de gouvernance. Les équipes IT ne connaissent pas toujours l’ensemble du parc technique, tandis que les équipes de maintenance industrielle ne disposent pas nécessairement des compétences ou des outils nécessaires pour évaluer les risques cyber. Cette séparation des responsabilités crée des zones grises dont les attaquants peuvent tirer profit.

° Les attaques semblent exploiter des équipements et des logiciels parfois anciens. Est-ce avant tout un problème de technologie ou de gouvernance de la sécurité ?

C’est une combinaison des deux. L’obsolescence technologique constitue un risque important, mais elle devient particulièrement dangereuse lorsqu’elle n’est pas identifiée et gérée.

Certains équipements fonctionnent depuis de nombreuses années et continuent à remplir parfaitement leur fonction industrielle : la durée de vie d’un frigo industriel se compte en dizaines d’année, mais peut-on en dire autant de l’appareil intelligent et digital qui le pilote? Leur système d’exploitation, leur firmware ou leur interface de communication ne bénéficie parfois plus de mises à jour de sécurité. Il existe également des équipements pour lesquels une mise à jour logicielle ne suffit pas : il faut revoir l’architecture de connexion, voire remplacer certains composants.

La difficulté est que les entreprises raisonnent encore trop souvent en termes de disponibilité et de durée de vie opérationnelle. Tant que le frigo fonctionne, il n’est pas considéré comme prioritaire de le remplacer. Mais la disponibilité technique ne signifie pas que l’équipement est sécurisé.

Il faut donc intégrer la cybersécurité dès l’achat, l’installation et la maintenance des équipements. Cela suppose notamment d’exiger des fabricants une politique de gestion des vulnérabilités, une durée de support clairement définie et des mécanismes d’authentification robustes.

° Trois établissements français du sang (EFS) ont également été attaqués, mais l’attaque a pu être détectée et bloquée à temps. L’attaque aura donc été au-delà de supermarchés. Peut-on déjà identifier les responsables de ces attaques et leurs motivations ? S’agit-il de cybercriminalité, de sabotage ou d’une opération de déstabilisation ?

Le point commun entre les établissements concernés et les supermarchés, c’est la marque du contrôleur de leurs systèmes de réfrigération. Il semble donc qu’ils n’aient pas été particulièrement ciblés, mais cela montre l’ampleur qu’une telle attaque peut avoir.

Pendant plusieurs semaines, la communauté cyber s’est interrogée sur ces attaques, que personne ne revendiquait. Aucun modèle économique viable ne semblait émerger, pour que la piste cyber criminelle tienne la route. Deux grands scénarios ont été évoqués : des amateurs réalisant un tour de force, ou une opération de déstabilisation.

Des groupes de cyber criminels affiliés à l’état Russe viennent de revendiquer l’attaque : leur revendication soulève des questions, car elle est tardive et les preuves qu’ils fournissent pourraient être produites par n’importe qui. Cependant, le scénario de l’intimidation par un état adversaire semble de plus en plus favorisé. Il reste un travail d’enquête, qui peut être long, pour obtenir des conclusions plus solides.

Ce qui est a sans doute surpris, c’est qu’une cyber attaque qui ne cherche pas à voler des données ou à chiffrer les systèmes contre rançon, puisse avoir un tel impact financier sur les sociétés qui en ont été vicitime. En agissant directement sur la disponibilité d’un service essentiel au fonctionnement des commerces, les pirates ont causé un impact opérationnel et financier se comptant en millions d’euros.

C’est une évolution importante dans notre manière d’appréhender les cybermenaces. Une attaque peut avoir un impact majeur sans toucher les bases de données clients, les systèmes de paiement ou les infrastructures informatiques centrales. Il suffit de compromettre un équipement technique dont dépend l’activité quotidienne.

L’attribution est également difficile. Il faut analyser les journaux de connexion, les accès distants, les vulnérabilités exploitées et les traces laissées dans les équipements. Or, les systèmes OT ne disposent pas toujours des capacités de journalisation et de détection que l’on retrouve dans les environnements informatiques classiques…

° Qui doit assumer la responsabilité financière et opérationnelle lorsque ces installations sont compromises : le distributeur, le franchisé, le frigoriste ou le fabricant ?

C’est une question complexe, notamment parce que le modèle de la grande distribution a considérablement évolué. On est passé, pour une partie du secteur, d’organisations centralisées à des modèles faisant intervenir de nombreux franchisés et partenaires indépendants.

Dans la pratique, les pertes de marchandises peuvent être supportées par les exploitants des magasins, tandis que les dégâts matériels et les investissements de sécurisation peuvent relever d’autres acteurs, selon les contrats et les responsabilités convenues.

Mais la question ne doit pas être uniquement abordée sous l’angle de l’indemnisation. Il faut déterminer qui est responsable de la sécurité des équipements, qui gère les accès distants, qui assure les mises à jour et qui contrôle les prestataires.

La sécurité doit être contractualisée. Les entreprises doivent notamment définir les responsabilités en matière de maintenance, de notification des incidents, de gestion des vulnérabilités et de continuité d’activité.

Il ne suffit plus de considérer qu’un équipement est sécurisé parce qu’il a été installé par un prestataire reconnu. L’entreprise qui exploite l’installation doit conserver une visibilité sur les risques et s’assurer que les mesures de protection sont effectivement appliquées.

° Quelles mesures concrètes les entreprises doivent-elles prendre immédiatement pour éviter une nouvelle vague d’incidents ?

La première priorité est de réaliser un inventaire exhaustif des équipements connectés. Il faut savoir précisément quels contrôleurs, automates, systèmes de supervision et interfaces de maintenance sont présents sur chaque site, quelles versions logicielles ils utilisent et avec quels réseaux ils communiquent.

La deuxième priorité est de vérifier les accès distants. Aucun contrôleur industriel ne devrait être directement exposé à Internet sans protection adaptée. Les connexions des prestataires doivent passer par des accès sécurisés, avec authentification multifacteur, gestion individuelle des comptes, droits limités et journalisation des opérations.

Il faut également segmenter les réseaux. Les systèmes de réfrigération ne devraient pas être directement accessibles depuis le réseau informatique bureautique ou les réseaux publics. Une segmentation efficace permet de limiter la propagation d’une compromission et de réduire les possibilités de mouvement latéral d’un attaquant.

Troisième élément : la mise en ouevre d’une veille de sécurité, aussi pour les équipements industriels. Il s’agit de vérifier les mises à jour et le support des équipements. Les entreprises doivent identifier les matériels en fin de vie, appliquer les correctifs disponibles et prévoir le remplacement des équipements qui ne peuvent plus être sécurisés. Déconnecter temporairement un système d’Internet peut réduire son exposition, mais ne constitue pas, à lui seul, une correction durable.

Enfin, il faut renforcer la surveillance opérationnelle. Une température qui augmente brutalement, un changement inhabituel de consigne ou une activation anormale du mode dégivrage doivent déclencher une alerte. Il est essentiel de pouvoir détecter un comportement anormal avant que les marchandises ne soient perdues.

° La réglementation européenne, notamment NIS2 et le Cyber Resilience Act, peut-elle contribuer à résoudre ce problème ?

Ces réglementations constituent des leviers importants, mais il faut bien distinguer leurs champs d’application.

NIS2 impose aux entités concernées des mesures de gestion des risques cyber, de sécurité de la chaîne d’approvisionnement, de gestion des incidents et de continuité des activités. En Belgique, la loi du 26 avril 2024 transpose cette directive. Toutefois, toutes les enseignes de distribution ne sont pas automatiquement soumises à NIS2 : il faut examiner les activités réelles de chaque organisation et les critères d’assujettissement.

Le Cyber Resilience Act apporte une autre dimension : il responsabilise les fabricants de produits comportant des éléments numériques sur la sécurité de leurs produits pendant leur cycle de vie. Ses obligations de signalement des vulnérabilités activement exploitées et des incidents graves sont applicables depuis le 11 septembre 2026 aux fabricants concernés. Les principales obligations du règlement s’appliqueront à partir du 11 décembre 2027.

C’est une évolution fondamentale : la cybersécurité ne doit plus être uniquement une préoccupation de l’entreprise qui achète et utilise un équipement. Elle doit également être intégrée dans sa conception, sa commercialisation et son maintien en condition de sécurité.

° Ces événements doivent-ils nous amener à revoir notre conception de la cybersécurité des infrastructures commerciales ?

Absolument. Nous devons sortir d’une vision dans laquelle la cybersécurité se limite à protéger les données et les systèmes informatiques. Elle doit désormais englober tous les équipements connectés qui contribuent au fonctionnement d’une organisation.

Un supermarché est un environnement technologique complexe. La réfrigération, la climatisation, les systèmes de sécurité, les caisses et les infrastructures logistiques sont interdépendants. Une vulnérabilité sur un équipement apparemment secondaire peut donc avoir des conséquences économiques et opérationnelles considérables.

Ces attaques rappellent que la cybersécurité est aussi une question de résilience opérationnelle. Il faut être capable de prévenir les incidents, de les détecter rapidement, mais également de continuer à fonctionner lorsque certains systèmes deviennent indisponibles ou doivent être isolés.

La priorité est maintenant de développer une véritable culture de sécurité de l’IoT et de l’OT, associant les directions informatiques, les responsables opérationnels, les équipes de maintenance et les fournisseurs. Car le risque ne se trouve plus uniquement dans les ordinateurs et les serveurs. Il se trouve aussi dans les équipements physiques que nous avons progressivement connectés.

Propos recueillis par André de Woot