Dans la nuit du 11 au 12 octobre, des centaines de supermarchés français ont vu leurs installations frigorifiques compromises. Aucune donnée volée, mais des stocks entiers détruits. Les failles étaient connues depuis l’été, ce sont surtout des commerçants indépendants qui paient la facture, et l’épisode oblige à étendre la cyber-résilience bien au-delà du système d’information.
Pas de rançon sur des fichiers chiffrés, pas de base clients mise en vente sur un forum. Entre le 11 et le 12 octobre, les systèmes de réfrigération connectés de plusieurs centaines de supermarchés français ont été pris pour cible, et des rayons entiers de produits frais et surgelés ont fini à la poubelle. “Depuis dix ans, nous nous préoccupons surtout des pirates qui volent nos données”, observe Chris Millington, expert en cyber-résilience chez Hitachi Vantara. “Dans le cas de l’attaque des supermarchés en France, ils n’ont même pas eu besoin d’en dérober. Ils ont simplement transformé des congélateurs en fours”.
Une attaque qui ne sortait pas de nulle part
Vincent Nguyen, directeur de la cybersécurité de l’assureur Stoïk, retrace la chronologie : en août, des chercheurs publient des vulnérabilités affectant ces équipements. Fin août, une douzaine de supermarchés implantés sur des bases militaires américaines subissent des pannes de réfrigération. En octobre, c’est au tour de l’Europe. Entre la divulgation des failles et l’attaque d’ampleur, plusieurs semaines se sont donc écoulées, et l’alerte américaine n’a manifestement pas suffi à déclencher les correctifs de ce côté de l’Atlantique.
La France offrait par ailleurs une cible de choix. Les équipes de Stoïk ont recensé environ 3 000 contrôleurs du fabricant Danfoss sur le territoire, soit près de la moitié du parc mondial identifié.
Le premier enseignement relève de l’hygiène de base, appliquée à des équipements que l’on oublie volontiers de surveiller. Maxime Flament, consultant expert en cybersécurité chez Meritis, invite d’abord à savoir ce que l’on exploite : quels équipements sont encore maintenus par leur fabricant, lesquels ne reçoivent plus de correctifs et doivent être remplacés, et à quelle vitesse les mises à jour de sécurité sont réellement déployées. Il recommande aussi de soumettre régulièrement ces installations à des tests d’intrusion, en particulier tout ce qui est joignable depuis internet ou ouvert à la télémaintenance, et de cloisonner les réseaux. Les prestataires qui interviennent à distance doivent passer par un VPN, s’authentifier sur deux facteurs et ne disposer que des droits indispensables.
Des pertes bien réelles pour les indépendants
Pour Vincent Nguyen, l’image des grandes enseignes masque une réalité plus fragile. “Derrière les enseignes, les magasins Intermarché et U appartiennent à des indépendants, et de petits commerces alimentaires ont aussi été touchés”, rappelle-t-il. “Avec des stocks périssables et des marges faibles, une seule nuit d’interruption suffit à anéantir tout le stock frais d’un magasin”. Les chiffres relevés par ses équipes donnent la mesure du choc :
À Haguenau, un Intermarché a perdu environ 50 000 euros de marchandises, un Super U environ 220 000 euros
Vincent Nguyen, directeur de la cybersécurité chez Stoïk
Et la facture ne s’arrête pas là. “Sur ce type d’incident, le coût ne se limite pas aux produits qu’il faut jeter, souligne Maxime Flament. “Sans PCA et PRA opérationnels, l’entreprise risque également de prolonger l’interruption et d’augmenter fortement ses pertes d’exploitation”.
La reprise doit sortir de la salle serveurs
Reste la question de la reprise, que l’attaque pose sous un jour nouveau. Pour Chris Millington, se contenter de savoir restaurer ses données ne suffit plus : il faut avoir identifié à l’avance ce qu’une attaque peut paralyser, ce que cela coûte à l’activité, et être capable de réagir vite. Un plan de continuité taillé pour remonter des serveurs montre vite ses limites lorsque la compromission touche des équipements physiques. “Lorsqu’une entreprise dépend d’équipements connectés, ces plans doivent aussi garantir, en amont, que ces installations sont déployées et configurées de manière sécurisée”, insiste Maxime Flament.
Concrètement, les sauvegardes doivent aller au-delà des données et conserver tout ce qui permet de reconstruire l’installation à l’identique, paramétrages compris, avec une copie déconnectée. Le PRA doit être joué en grandeur nature, deux fois par an au minimum, et plutôt tous les trois mois là où l’activité ne tolère aucun arrêt. Après l’incident, la tentation de tout relancer au plus vite doit être tenue à distance. Avant de remettre une installation en route, une analyse forensique doit établir par où les attaquants sont passés et vérifier qu’ils n’ont laissé aucune porte ouverte. Les outils de surveillance et de contrôle d’accès doivent être remis en place avant le redémarrage, puis durcis en fonction de ce que l’enquête aura révélé. L’assureur cyber peut enfin accompagner la gestion de crise et de ses conséquences.
Les supermarchés ne sont qu’un cas parmi d’autres. Usines, distribution d’eau et d’énergie, hôpitaux, sites pharmaceutiques, plateformes logistiques, aéroports ou immeubles de bureaux pilotés à distance reposent eux aussi sur des automates connectés, avec des conséquences autrement plus lourdes qu’un stock de yaourts perdu. Chris Millington résume la question que chaque organisation devrait se poser : si des attaquants ciblaient demain ses systèmes opérationnels, quels équipements deviendraient inutilisables ? “Toutes les organisations ont leurs congélateurs”.
