Le piratage massif des systèmes de réfrigération d’environ 700 supermarchés en France a entraîné l’arrêt des réfrigérateurs et des congélateurs, la température à l’intérieur de certains d’entre eux atteignant 50 degrés Celsius. Cela a provoqué la détérioration de quantités indéterminées de denrées alimentaires et le déclenchement d’incendies dans certains systèmes électriques.
Les attaquants ont ciblé des unités de contrôle connectées à Internet qui permettent aux techniciens de gérer à distance les systèmes de réfrigération des magasins. Après les avoir compromises, ils ont activé les fonctions de dégivrage pendant de longues périodes, ce qui a fait monter la température au lieu de préserver la chaîne du froid. Des effets liés à l’incident ont également été signalés en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique.
Des vulnérabilités connues dans des appareils anciens
Selon des rapports de recherche et des alertes de sécurité publiques, les appareils concernés comprenaient des modèles de la société danoise Danfoss, ainsi que de Dixell et de sa société mère américaine Copeland. Jusqu’à récemment, certains modèles d’unités Danfoss utilisaient un mot de passe quotidien généré à partir de la date dans le firmware disponible pour analyse. Comme ce mot de passe était identique pour des modèles présents dans des centaines ou des milliers de magasins, il était possible de le reproduire sur les appareils qui n’avaient pas reçu de mise à jour récente.
Les unités Copeland et Dixell comportaient également des vulnérabilités critiques corrigées au cours des derniers mois, qui permettaient un accès à distance avec des privilèges similaires à ceux des administrateurs. Cela montre que le problème ne résidait pas dans l’existence même d’un accès à distance, mais dans l’utilisation d’appareils anciens tout en les laissant accessibles depuis l’Internet public.
Que pouvait-on empêcher concrètement ?
Des chercheurs de Pen Test Partners ont déclaré que des mesures élémentaires auraient pu modifier l’issue de l’incident, notamment le retrait des unités de contrôle de l’Internet public, le placement de l’accès à distance derrière un réseau VPN et une liste d’adresses IP autorisées, la modification des identifiants connus ou par défaut, ainsi que la mise à jour des logiciels vers des versions actuelles.
Les chercheurs ont également insisté sur la nécessité d’intégrer les équipements de tiers au réseau de l’entreprise selon une procédure documentée et sous son contrôle, plutôt que de les laisser connectés via une liaison appartenant à un prestataire externe. Claroty avait déjà mis en garde contre les risques liés au non-respect de ces mesures en octobre dernier, tandis que l’Agence américaine de cybersécurité et de sécurité des infrastructures, CISA, avait publié une alerte similaire en février.
L’entité responsable et les enseignements encore ouverts
L’entité à l’origine de l’attaque n’en a pas revendiqué la responsabilité. Ses motivations restent donc indéterminées, entre un sabotage à grande échelle et l’hypothèse d’une opération de perturbation transfrontalière menée par un acteur international ou gouvernemental. Copeland a reconnu l’existence d’une vulnérabilité dans une génération abandonnée et arrivée en fin de support de ses unités de contrôle, et a déclaré travailler avec ses clients pour prévenir des incidents similaires. Danfoss n’a pas répondu immédiatement aux questions d’Ars Technica, étant précisé que des modèles abandonnés étaient également concernés par la discussion.
L’importance de l’incident tient au fait qu’il montre comment un petit appareil industriel, s’il est géré avec des logiciels anciens et un accès exposé, peut devenir un point d’impact opérationnel direct sur les stocks et la sécurité des installations. Toutefois, la source ne précise pas le nombre d’appareils compromis ni la valeur finale des pertes, et n’établit pas encore l’identité ou les motivations de l’attaquant.