Lundi, Coopérative U a révélé une cyberattaque contre les installations de froid de plusieurs de ses magasins. L’ANSSI a depuis désigné les contrôleurs Danfoss comme cible d’une campagne de sabotage. Selon Numerama, les régulateurs Dixell seraient eux aussi concernés, et un Leclerc du Tarn a dû jeter sa marchandise. En Belgique, Ahold Delhaize affronte de son côté des problèmes informatiques. Pour les chercheurs de Synacktiv, ces équipements sont pris pour cible avec une facilité déconcertante.
Tout a commencé par un SMS. Lundi 12 octobre à 8h54, l’Hyper U de Bourgueil, en Indre-et-Loire, prévenait ses clients, dans un message que Solutions Numériques a pu consulter, qu’à la suite d’un « acte de piratage », aucun produit frais ne serait vendu dans la journée. En fin de matinée, Dominique Schelcher, PDG de Coopérative U, confirmait sur X qu’une cyberattaque touchait depuis la nuit les installations de production de froid de plusieurs magasins du réseau, comme nous le rapportions. Il la jugeait “inédite” et d’une “extrême gravité”.
Danfoss sur le devant de la scène
Le lendemain, la piste technique devient officielle. Sur LinkedIn, Vincent Strubel, directeur général de l’ANSSI, lance une alerte urgente visant les contrôleurs de froid Danfoss des séries AK-SM et AK-SC. Il évoque des attaques de sabotage qui provoquent des pertes de marchandises, voire un risque de départ de feu, et appelle à déconnecter ces équipements d’internet. Le bulletin du CERT-FR fait état de “nombreuses compromissions”, sans nommer de victime.
Dans un commentaire transmis à la rédaction, Synacktiv estime que les cyberattaques visant les systèmes de réfrigération de « plusieurs centaines de supermarchés Intermarché et Coopérative U » illustrent une réalité « largement sous-estimée ». Selon elle, des équipements industriels connectés à internet peuvent être pris pour cible « avec une facilité déconcertante ». L’entreprise française de sécurité offensive indique que ses chercheurs ont déjà identifié plusieurs vulnérabilités sur des équipements Danfoss, « notamment une faille permettant de contourner l’authentification ». Lors d’un audit récent, ses experts ont découvert des systèmes de réfrigération « accessibles directement depuis Internet, sans aucun mot de passe ». Un attaquant peut alors arrêter les équipements ou modifier à distance les températures de conservation. Sur le mode opératoire, les chercheurs privilégient « l’hypothèse d’une attaque opportuniste », avec l’identification des équipements exposés via des moteurs de recherche spécialisés comme Shodan, puis l’exploitation de vulnérabilités connues ou d’identifiants faibles. Synacktiv souligne que la dispersion géographique des attaques semble conforter cette hypothèse, « sans permettre à ce stade de confirmer le mode opératoire exact ».
Un effet de contagion ?
Danfoss ne serait pas le seul fabricant concerné. D’après France 3 Régions, un Leclerc du Tarn a subi mardi matin une rupture de sa chaîne du froid à la suite d’une cyberattaque. Le magasin n’est pas équipé par Danfoss mais par Dixell, qui fabrique lui aussi des régulateurs pilotant la température des vitrines, des meubles froids et des chambres froides. Le magasin a dû « vider et jeter toute la marchandise » de ses frigos, tout en assurant que la situation était sous contrôle et que les rayons seraient regarnis au fil des livraisons. Le site précise que des messages publiés sur X évoquaient déjà des équipements Dixell parmi les cibles, et que Dixell n’a pas confirmé avoir été visé. Si cela se confirmait, une seconde marque touchée renforcerait l’hypothèse d’attaquants qui visent toute interface de régulation frigorifique trouvée ouverte sur internet, plutôt qu’un produit en particulier.
Les rayons vides ne sont pas non plus une exception française cette semaine. En Belgique et aux Pays-Bas, les enseignes du groupe Ahold Delhaize, dont Albert Heijn et Delhaize, mais aussi Etos et l’américaine Stop & Shop, font face depuis dimanche à des problèmes informatiques toujours pas résolus mardi matin, rapporte Le Soir. Selon le quotidien belge, Albert Heijn évoque un incident de cybersécurité qui l’a contraint à couper ses sites, ses applications et ses services clients, et à arrêter plusieurs centres de distribution, au risque de pénuries en magasin. Le groupe n’a pas communiqué l’origine de l’incident, qui touche ses systèmes d’information et non ses installations de froid. Rien ne permet de le relier à la campagne visant Danfoss.
Le sabotage du froid n’est d’ailleurs pas tout à fait nouveau. Comme le racontait la Gendarmerie nationale en 2020, une entreprise de Montauban avait constaté en 2019 un dysfonctionnement de ses chambres froides. Son sous-traitant avait découvert que les paramètres de refroidissement avaient été modifiés à distance, et les gendarmes avaient identifié l’auteur, un ancien employé. Les chambres étant vides, l’entreprise avait évité une perte évaluée à 500 000 euros.
Le prestataire, maillon à encadrer
Selon des professionnels du secteur, ces équipements sont souvent administrés à distance par les frigoristes chargés de leur maintenance. Le recours à des tiers fait partie des risques que l’ANSSI surveille de près : auditionné en avril à l’Assemblée nationale, Vincent Strubel expliquait que les attaques traitées par l’agence sont de plus en plus liées à la chaîne d’approvisionnement. Pour les entreprises, encadrer ces interventions passe aussi par le contrat. « Un prestataire de services en cybersécurité se trouve dans l’obligation d’adopter une approche très intrusive », rappelle Alan Walter, associé du cabinet Walter Billet Avocats, dans un commentaire adressé à la rédaction. « La première question à aborder pour le donneur d’ordre consiste à déterminer l’ampleur des accès qui lui seront accordés dans le cadre de sa mission. »
