Cybersécurité : les frigos piratés révèlent l’angle mort des enseignes locales

Une nouvelle série d’incidents en Europe

Le 2 novembre, COOP constate des perturbations dans les installations frigorifiques de sept magasins suédois. Certains équipements s’arrêtent, d’autres fonctionnent partiellement, et dans un établissement, le système commence à produire de la chaleur. Chez ICA, plusieurs magasins sont également touchés.

Au cours de la même nuit, des incidents sont rapportés en Belgique, aux Pays-Bas, au Luxembourg, en Irlande et en Estonie. En Finlande, quelques magasins constatent des anomalies de température. La ressemblance avec les attaques françaises d’octobre est forte.

Des contrôleurs à distance dans la ligne de mire

Dans la nuit du 11 au 12 octobre, des installations frigorifiques de plusieurs centaines de commerces français sont perturbées, et des magasins doivent retirer et jeter leurs produits frais ou surgelés. Les estimations rapportées dans la presse vont jusqu’à 700 établissements concernés, avec des pertes évaluées en dizaines de millions d’euros.

Le 12 octobre, le CERT-FR publie une alerte sur les compromissions de contrôleurs à distance. Dès le lendemain, il élargit la liste des équipements concernés, qui inclut les séries AK-SM et AK-SC de DANFOSS, ainsi que les systèmes XWEB de COPELAND et DIXELL.

Ces contrôleurs permettent de surveiller les installations, d’ajuster leurs paramètres et d’organiser leur maintenance. Une intervention qui nécessitait autrefois un déplacement peut désormais se faire à distance, une commodité qui devient une faiblesse lorsque l’accès est insuffisamment protégé.

Le superviseur DANFOSS AK-SM 800A donne notamment accès aux seuils de température, aux horaires de fonctionnement, aux notifications et aux comptes utilisateurs. Une fois un accès de commande compromis, perturber l’installation peut consister à détourner ses fonctions normales.

Relancer le système ne suffit pas. Une consigne réglée à 50 °C ne signifie pas que tous les produits ont atteint cette température. Les dommages dépendent de la température réelle, de la durée de la dérive et des marchandises conservées, et un système remis en marche ne rend pas vendables des produits devenus impropres à la vente.

Une responsabilité partagée entre plusieurs acteurs

Un même nom sur la devanture ne signifie pas que tous les magasins utilisent les mêmes équipements ou appliquent les mêmes règles de sécurité. En Belgique, COLRUYT précise que les cinq magasins SPAR concernés sont exploités par des entrepreneurs indépendants, avec leurs propres systèmes frigorifiques. CARREFOUR fait de son côté état de quinze magasins touchés.

Le fabricant fournit les mises à jour, le frigoriste installe et entretient le matériel, et le commerçant fait fonctionner le magasin et subit les pertes lorsque les températures montent. La direction informatique de l’enseigne n’a pas nécessairement accès aux installations de chaque point de vente. Lorsqu’une faille est signalée, il faut retrouver les équipements concernés, prévenir la personne chargée de leur maintenance, puis vérifier qu’elle a installé le correctif et sécurisé les accès à distance.

Si l’exploitation indépendante ne constitue pas, en elle-même, une cause d’attaque, la multiplication des intervenants peut faire circuler une alerte sans que personne ne vérifie que chaque installation est effectivement protégée.

Les relevés de CENSYS montrent que le nombre d’interfaces DANFOSS StoreView visibles sur Internet en France est passé de 1 825 le 11 octobre à 220 le 2 novembre, soit une diminution de 88 %. Le cabinet recense néanmoins encore un peu plus de 1 000 instances exposées dans le monde. Le CERT-FR rappelle par ailleurs que réinitialiser un équipement ne corrige pas sa faille de sécurité.

En Finlande, KESKO indique rechercher encore la cause des anomalies constatées dans quelques petits magasins, sans exclure une intervention à distance.