Trois semaines après la France, ce sont les rayons surgelés de neuf pays européens qui ont viré au four dans la nuit de dimanche à lundi. Derrière le sabotage spectaculaire, une réalité beaucoup plus banale : des milliers d’automates de réfrigération, ces équipements OT accessibles depuis Internet, souvent hors support, et dont personne ne sait vraiment qui doit les surveiller.
De Bruxelles à Helsinki, le même scénario
On croyait l’épisode français relativement isolé. Il avait plutôt valeur de répétition générale. Selon l’AFP, une cyberattaque présumée a frappé lundi 2 novembre des commerces alimentaires dans au moins neuf pays européens : Belgique, Estonie, Finlande, Irlande, Italie, Luxembourg, Pays-Bas, Portugal et Suède. Partout, le même réveil : des températures montées pendant la nuit et des denrées bonnes pour la benne. Trois semaines après l’attaque contre les enseignes françaises, aucune des deux vagues n’a été revendiquée, souligne l’agence. Bruxelles a choisi ses mots avec soin. Le commissaire européen à l’Agriculture et à l’Alimentation, Christophe Hansen, y voit, toujours selon l’AFP, “une tentative délibérée de perturber notre chaîne d’approvisionnement alimentaire”, doublée d’une volonté de saper la confiance des consommateurs.
La Belgique encaisse le choc le plus visible. D’après Euronews, une quarantaine de supermarchés Delhaize, au moins 15 Carrefour, cinq Spar et le groupe de boucherie De Laet en Van Haver ont été touchés, avec des frigos montés jusqu’à 70 °C selon les médias belges et environ 100 000 euros de nourriture jetée. Chez Carrefour Belgique, qui compte selon l’AFP une quinzaine de magasins touchés sur 700, le porte-parole Mich Vergauwen ne s’embarrasse pas de précautions oratoires : “C’est une cyberattaque, il n’y a pas d’autre raison”. L’agence précise que le parquet fédéral a ouvert une enquête, que Colruyt, Intermarché et le magasin Ikea de Mons ont eux aussi signalé des incidents, et que quatre Delhaize ont été touchés au Luxembourg.
En Italie, on connaît même l’heure du coup. Giuseppe Spadaro, à la tête du groupe Radenza qui gère des supermarchés Coop, a indiqué à l’agence ANSA, citée par l’AFP, que l’attaque avait eu lieu à 4 heures du matin et visait le système de commande à distance des rayons surgelés. Au moins quatre Coop en Sicile et une entreprise en Toscane sont concernés, et le gouvernement devait réunir ce mardi les services de renseignement sur le sujet. En Suède, Coop reconnaît six magasins touchés sur environ 800. Son porte-parole, Carlos Cancino, relève auprès de l’AFP un détail technique révélateur : les points de vente concernés étaient reliés à un réseau mobile 4G plutôt qu’au système 5G plus récent, ce qui les rendait “plus exposés”. Chez Ica, tous les magasins touchés dépendaient d’un système de contrôle externe fourni par Danfoss, le même fournisseur que lors de l’attaque française du 12 octobre.
Le reste de la carte dressée par l’AFP confirme le schéma. Au Portugal, le groupe Mosqueteiros recense sept Intermarché et pointe un prestataire externe chargé de gérer la réfrigération. En Irlande, Musgrave évoque 13 SuperValu. En Estonie, d’après le diffuseur public ERR, au moins un supermarché a vu ses unités grimper à 50 °C, sur des modèles Danfoss anciens comparables à ceux visés en France. En Finlande, le groupe Kesko enquête encore mais n’écarte pas une intervention via le réseau. Roni Kokkola, spécialiste au centre national de cybersécurité de l’agence Traficom, n’est pas surpris. Selon lui, une extension au-delà de la France était attendue, les vulnérabilités étant aujourd’hui exploitées de plus en plus activement et rapidement.
Pas de malware sophistiqué, juste des portes laissées ouvertes
Le plus inquiétant dans cette affaire tient à sa simplicité. Les failles exploitées étaient publiques depuis août, rappelait dans nos colonnes Vincent Nguyen, directeur de la cybersécurité de Stoïk. Fin août, des pannes de réfrigération avaient touché des magasins de bases militaires américaines. La France a suivi en octobre, l’Europe en novembre. Près de trois mois entre la divulgation et la deuxième vague, et toujours des correctifs en souffrance. Le média paneuropéen rapportait que l’ANSSI avait identifié des contrôleurs Danfoss, Copeland et Dixell, et que Danfoss reconnaissait lui-même de nombreuses unités en fin de vie ou sous microprogramme dépassé. “C’est une question de cyberhygiène de base”, tranchait auprès de Reuters Ken Munro, associé chez Pen Test Partners.
Le problème est aussi économique : connecter ces automates fait gagner du temps aux techniciens. Forescout a ainsi recensé près de 13 000 services de réfrigération exposés dans 99 pays, et 80 % des services Danfoss accessibles en ligne tournaient sous un firmware non corrigé. La France concentrait à elle seule environ 3 000 contrôleurs Danfoss selon Stoïk, près de la moitié du parc mondial identifié. Une fois entré, l’attaquant se contente des fonctions normales du système, et la responsabilité se dilue entre prestataire, magasin et DSI. Même l’installateur belge Sabcobel, cité par l’AFP, a été pris de vitesse avant d’avoir fini de sécuriser son parc.
Savoir que l’automate existe, avant de savoir qu’il est piraté
Pour Frank Ruge, Senior Vice President Direct Sales EMEA chez Infoblox, la première question n’est d’ailleurs pas technique. “La question immédiate pour un détaillant, un hôpital ou un fabricant n’est pas seulement de savoir si un contrôleur est exposé. Il s’agit de savoir si l’organisation a connaissance de l’existence de ce contrôleur, de ce qu’il prend en charge, à qui il appartient et comment il peut être sécurisé ou isolé”, estime-t-il. Une manière de rappeler que l’inventaire reste le parent pauvre de la sécurité OT.
Pas question pour autant de couper tous les accès distants ou d’empiler les alertes. “Aucune couche unique ne peut se substituer aux principes fondamentaux”, prévient le dirigeant d’Infoblox, qui plaide pour une visibilité globale des actifs, y compris les appareils non gérés, croisée avec une lecture “de l’extérieur vers l’intérieur” des identifiants exposés et des infrastructures malveillantes. Sa conclusion sonne comme un avertissement aux directions générales : “La visibilité n’est pas un simple tableau de bord. C’est la capacité à prendre une décision sûre tant qu’il est encore temps d’agir”.
Les recommandations de Forescout vont dans le même sens. L’éditeur préconise de retirer ces systèmes de l’Internet ouvert au profit d’accès distants sécurisés, de remplacer les équipements privés de mises à jour, de bannir les mots de passe partagés entre prestataires au profit d’identifiants individuels avec authentification multifacteur, et de tracer les modifications. Côté fabricants, Paolo Falcioni, directeur général de l’association APPLiA, appelle dans les colonnes du média paneuropéen à des normes pratiques dans la mise en œuvre du Cyber Resilience Act, en rappelant que la sécurité commence dès la conception et se prolonge tout au long de la vie du produit. En attendant, aucune revendication n’a été formulée, ni pour la France ni pour cette deuxième vague. Les pirates, eux, ont déjà démontré qu’un simple thermostat pouvait suffire à vider des rayons entiers.
