Les systèmes de réfrigération connectés permettent aux chaînes de supermarchés de surveiller et de gérer leurs équipements à distance, mais une protection insuffisante peut également exposer ces systèmes à des abus. Après un incident majeur en France, des problèmes similaires ont désormais été signalés en Belgique et en Suède.
L’incident a commencé dimanche soir, lorsque les réfrigérateurs de magasins exploités par des chaînes comme Delhaize, Carrefour, Spar, Ica et Coop auraient augmenté leur température sans aucune intervention du personnel. Dans certains cas, la température a atteint environ 50 °C, mettant les produits réfrigérés en danger.
L’explication initiale évoquait une éventuelle défaillance informatique, mais plusieurs rapports décrivent désormais l’événement comme une cyberattaque. Selon les premières conclusions, les attaquants auraient activé à distance le mode de dégivrage des évaporateurs, provoquant une hausse de la température à l’intérieur des chambres frigorifiques.
La méthode utilisée pour obtenir l’accès n’a pas encore été identifiée. Les systèmes concernés pourraient inclure des équipements anciens qui ne sont plus mis à jour, qui restent inutilement connectés à Internet ou qui utilisent des mots de passe faibles. Lors de l’incident français précédent, il a été constaté que certains réfrigérateurs Danfoss utilisaient « admin » comme nom d’utilisateur administrateur et le jour du mois comme code d’accès.
Le nombre total de magasins concernés et le montant des éventuelles pertes restent inconnus. Delhaize a débranché les câbles Internet de ses systèmes de réfrigération comme mesure immédiate.
Cependant, une mise à jour logicielle pourrait ne pas suffire à résoudre les problèmes de sécurité sous-jacents. Le PDG de l’installateur belge Sabcobel, qui gère des centaines de systèmes similaires, a déclaré que de nombreux réfrigérateurs nécessiteraient des modifications physiques, une solution potentiellement coûteuse. Les incidents survenus en France, en Belgique et en Suède se sont produits sur une période d’environ trois semaines, mettant en évidence les risques liés à l’exposition d’équipements de réfrigération connectés plus anciens.
Sources: Xataka.