L’Agence nationale française de la sécurité des systèmes d’information (ANSSI) a annoncé que la cyberattaque ayant perturbé les systèmes de réfrigération de centaines de grandes surfaces concernait des unités de contrôle de Copeland et de sa marque Dixell, en plus des systèmes Danfoss qui étaient au cœur de la première alerte. Selon le ministre français des Finances, Roland Lescure, environ 700 magasins sur près de 10 000 dans le pays ont été touchés.
Extension du périmètre des systèmes concernés
Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques de l’ANSSI, CERT-FR, a averti le 12 octobre que des intrusions avaient touché des unités de contrôle Danfoss AK-SM et AK-SC. Le lendemain, le centre a mis à jour son alerte pour y inclure les systèmes Copeland XWEB et Dixell XWEB. Copeland a ensuite confirmé l’existence d’une vulnérabilité, déclarant travailler avec les clients concernés afin de limiter les risques.
Durant l’été, l’entreprise Claroty avait révélé des failles dans les systèmes Danfoss AK-SM 800A, ainsi que 23 vulnérabilités dans l’unité Copeland XWEB Pro. Copeland avait publié une mise à jour du micrologiciel pour corriger ces failles. Toutefois, le CERT-FR, les autorités françaises et Danfoss n’ont pas explicitement établi de lien entre les attaques actuelles et l’une de ces vulnérabilités.
Appareils anciens et pertes d’exploitation
Danfoss a déclaré que la plupart des appareils concernés étaient d’anciennes unités AK-SM 800 et AK-SC 355 arrivées en fin de vie opérationnelle et ne recevant plus de mises à jour de sécurité. L’entreprise a cessé de prendre en charge l’AK-SM 800 en mai 2021, tandis que l’AK-SC 355 a été abandonné en 2016. Certaines unités AK-SM 800A plus récentes, qui fonctionnaient avec d’anciennes versions des logiciels, ont également été touchées.
Les magasins concernés appartenaient aux enseignes Carrefour, Coopérative U, E.Leclerc, Intermarché et Monoprix. Les Mousquetaires, propriétaire d’Intermarché, a déclaré qu’environ 150 magasins avaient été touchés, après que la température des unités de réfrigération eut atteint 50 degrés Celsius pendant six heures, entraînant la mise au rebut de toutes les denrées alimentaires qu’elles contenaient. Carrefour a fait état de 80 magasins touchés, tandis que Coopérative U a indiqué que 80 magasins avaient été ciblés, un nombre inférieur ayant dû détruire des produits. Deux magasins de la région Alsace ont enregistré des pertes cumulées de 270 000 euros.
Selon des informations publiées, les attaquants ont prolongé les cycles de dégivrage d’une heure à huit heures, retardant ainsi les alertes. Le parquet de Paris a également évoqué des incendies en plus des pertes alimentaires et a ouvert une enquête confiée à l’unité de lutte contre la cybercriminalité.
Quels changements concrets ?
Le CERT-FR a recommandé aux exploitants des unités de contrôle concernées de les déconnecter d’Internet et de ne rétablir l’accès à distance qu’au moyen d’un réseau protégé ou d’un VPN sécurisé. L’agence a considéré que la restriction des communications à certaines adresses IP ne constituait qu’une mesure d’urgence temporaire. Quant aux appareils arrivés en fin de vie, une réinitialisation aux paramètres d’usine ne suffira pas, car ils resteront vulnérables s’ils sont de nouveau exposés sur Internet.
Censys a recensé près de 3 000 tableaux de bord Danfoss StoreView exposés sur Internet le 11 octobre, dont plus de 1 800 en France. Au 14 octobre, leur nombre en France était tombé à 537, tandis que le nombre d’appareils à l’étranger restait proche de son niveau précédent. Les versions mises à jour et non mises à jour ont disparu à des taux comparables, ce qui laisse penser que de nombreux exploitants ont déconnecté les appareils plutôt que de les mettre à jour.
Des questions toujours ouvertes
Aucune entité n’a revendiqué l’attaque et aucune demande de rançon n’est apparue. La méthode employée par les attaquants pour obtenir l’accès n’est pas non plus connue. L’entreprise Sekoia a signalé que des magasins en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique avaient été touchés, sans fournir davantage de détails. L’incident soulève également la question de la responsabilité concernant des systèmes opérationnels sensibles gérés par des fournisseurs. Les Mousquetaires ont déclaré que les systèmes de réfrigération étaient gérés par Danfoss et qu’il incombait au fournisseur de déposer la plainte.