Des cyberattaques contre des systèmes de réfrigération de supermarchés ont touché des centaines de magasins en France et perturbé des équipements chez des détaillants de plusieurs autres pays européens, suscitant des inquiétudes au sujet des commandes connectées à Internet utilisées pour surveiller et entretenir à distance les unités de refroidissement.
En France, des attaquants ont pris le contrôle de systèmes de réfrigération dans la nuit du 11 au 12 octobre. Selon la source, la température de certains réfrigérateurs et congélateurs a atteint 50 °C, endommageant des aliments et provoquant des incendies dans certains magasins. Les détaillants ont indiqué qu’au moins 350 supermarchés avaient été touchés. TIME a rapporté qu’Intermarché et Netto comptaient 180 magasins concernés, Coopérative U au moins 100 et Carrefour 80. Le PDG d’Intermarché, Thierry Cotillard, a déclaré à BFM-TV que les pertes à l’échelle de la France se chiffraient à des dizaines de millions d’euros en une seule journée. Le parquet de Paris a ouvert une enquête, et le Premier ministre Sébastien Lecornu a demandé à l’agence nationale française de cybersécurité d’examiner l’incident.
Le 2 novembre, des détaillants en Suède, en Belgique, au Luxembourg et en Estonie ont signalé de nouveaux problèmes de réfrigération qui semblaient liés à des cyberattaques. Des enseignes comme Ahold Delhaize, Colruyt, ICA et Coop ont fait état d’équipements touchés. Carrefour Belgique a indiqué que 15 de ses plus de 700 magasins étaient concernés, tandis que Coop Suède en a recensé sept. Des articles ont également fait état d’incidents dans des magasins en Irlande, aux Pays-Bas et en Finlande, puis d’autres ont mentionné l’Allemagne, le Portugal, la Roumanie et l’Italie.
Selon BFM-TV, les attaquants ont forcé les systèmes de réfrigération à lancer des cycles de dégivrage répétés. Le Monde a rapporté que, sur certaines unités, les périodes de dégivrage avaient été prolongées d’une heure à huit heures, retardant ainsi les alarmes. En Belgique, le responsable de l’installateur de systèmes de réfrigération Sabcobel a déclaré que les évaporateurs des unités avaient été basculés en mode dégivrage.
L’agence française de cybersécurité, l’ANSSI, a indiqué que l’attaque en France avait touché les systèmes de gestion de réfrigération Danfoss AK-SC et AK-SM. Danfoss a déclaré que les unités concernées utilisaient un micrologiciel obsolète. Une étude de sécurité publiée par Claroty en août avait mis en évidence des failles dans un contrôleur Danfoss qui pouvaient permettre à un intrus de contourner l’authentification, selon TIME. Danfoss a mis à jour le micrologiciel du système, mais Reuters a rapporté que des unités Danfoss étaient également impliquées dans les incidents de novembre.
Ces systèmes sont connectés afin de permettre la surveillance et la maintenance à distance, souvent par l’intermédiaire de tableaux de bord centraux accessibles sur Internet. L’ANSSI a recommandé de restreindre l’accès à distance aux adresses IP de confiance. Patrick Lamplmair, directeur technique de l’entreprise de cybersécurité Tributech, a déclaré à Gizmodo que des milliers de ces contrôleurs restaient accessibles en ligne après l’attaque en France. Il a expliqué qu’un petit nombre de commandes pouvait suffire à vider les stocks d’un magasin, sans voler de données ni réclamer de rançon.
Les informations disponibles ne montrent aucun signe d’utilisation de l’intelligence artificielle dans ces attaques. Le Centre pour la cybersécurité de Belgique a déclaré ignorer qui en était responsable et qu’il ne serait peut-être jamais possible d’identifier les attaquants. Sa porte-parole, Katrien Eggers, a déclaré à Reuters craindre que l’IA ne facilite l’exploitation des faiblesses des systèmes. Le National Cyber Security Centre du Royaume-Uni prévoit que des logiciels malveillants basés sur l’IA seront utilisés d’ici 2028 lors d’une attaque par rançongiciel contre les infrastructures critiques du pays. Son directeur, Richard Horne, a évoqué les systèmes de chauffage et de refroidissement parmi les systèmes de processus physiques dont dépend la société, et a déclaré que les incidents en France montraient à quel point ils pouvaient facilement être exploités.
Le risque d’exposition pourrait dépasser le secteur des supermarchés. La division de recherche de Forescout a recensé 12 976 services de réfrigération accessibles depuis Internet, répartis sur 6 017 adresses IP publiques dans 99 pays. L’entreprise a averti que des risques similaires pourraient concerner les équipements de refroidissement des hôpitaux et des installations agricoles, ainsi que les espaces de stockage de produits pharmaceutiques, les usines agroalimentaires et les entrepôts.
Sources: Xataka.