Cyberattaques sur les frigos : l'arbuste qui cache la forêt ?

La cyberattaque visant les frigos de centaines de supermarchés français révèle les failles de sécurité des équipements connectés et les risques pour les infrastructures critiques.

Qui aurait pu prévoir que la prochaine cybercrise chaude proviendrait de frigos de supermarché ? C’est désormais acté. Car dans la nuit du 11 au 12 octobre, plusieurs centaines de supermarchés français, enseignes Intermarché, Leclerc, Super U ou Monoprix, ont vu leurs installations frigorifiques déréglées à distance. Rayons surgelés vidés, marchandises détruites, on évoque des millions d’euros de pertes au global.

La cyberattaque est à cet égard aussi spectaculaire que son mécanisme est simple et même…commun. Une rapide analyse de la chaîne d’attaque ayant conduit à ce désastre suffira pour s’en convaincre. Les installations frigorifiques des chaînes de grande distribution sont en effet pilotées par des superviseurs, souvent de marque Danfoss, que les frigoristes, des prestataires externes, administrent à distance via une interface web nommée StoreView. Cette interface était exposée sur le net et les pirates y ont eu accès par une faille permettant de deviner le mot de passe en fonction de l’heure et du jour.

Mais pourquoi connecter des frigos à internet ? Ne peut-on pas en modifier, et vérifier, la température manuellement comme sur un frigo du quotidien. “Que nenni” nous répond le règlement européen (CE) n° 37/2005. Il dispose en effet que les appareils contenant des aliments surgelés doivent être équipés d’instruments d’enregistrement capables de contrôler fréquemment la température de l’air. On objectera que la régulation n’oblige pas à connecter les frigos à internet et à les laisser ouverts et accessibles à tous les vents. Or si c’est tout à fait vrai dans le texte, en pratique, il est bien plus simple de procéder à ces contrôles à distance avec des systèmes connectés.

On objectera dès lors que le b.a.-ba de la cybersécurité consiste à ne pas exposer une interface de gestion sur internet, à supprimer une telle exposition, et à n’établir l’accès que via VPN sécurisé. D’autant plus que lesdits systèmes de supervision de marque Danfoss sont atteints de failles connues et publiées depuis au moins mars 2025. A cet égard, en août dernier, l’entreprise de cybersécurité Claroty a même démontré publiquement à la DEF CON de Las Vegas comment ces vulnérabilités permettaient de produire le scénario qui vient de se dérouler sous nos yeux ébahis. Mieux : Danfoss lui-même rapporte que seize supermarchés russes et quarante magasins israéliens avaient subi des compromissions similaires dès 2022.

“Qui aurait pu prédire” que des cybercriminels rejoueraient le même scénario pour paraphraser un illustre président ? Un scénario au moins aussi inattendu que celui de la fonte des glaces, même s’il ne s’agissait en l’occurrence que d’un mécanisme de dégivrage.

Malheureusement, le problème ne tient pas à la surprise mais bien à la logique sous-jacente à la maintenance de ce qu’on appelle les systèmes opérationnels, ou plus communément : l’OT, pour Operational Systems en cybersécurité. Il s’agit là des équipements (frigos, robots, appareils industriels etc.) essentiels à une activité et dont l’arrêt, ne serait-ce qu’une journée, est tout simplement inenvisageable pour l’entreprise. En effet, du point de vue du commerce, on n’arrête pas un frigo pendant une journée pour le mettre à jour et corriger des failles de sécurité dont “on ne sait même pas si elles seront exploitées un jour”. Jusqu’au jour où…

Cette problématique n’est pas nouvelle et nécessite de faire de la cybersécurité autrement que par du patching, par exemple en faisant fonctionner ces systèmes en réseaux fermés, sans accès à internet. A cet égard, cet épisode révèle une négligence et un non-respect des recommandations de base qui se sont malheureusement vus. Car pour tous les cas se produisant, tous ne sont pas recensés pour des raisons évidentes de confidentialité, car nombre de ces systèmes opérationnels sont critiques, dans l’eau, l’énergie ou le bâtiment par exemple.

Il faut donc rappeler au grand public que si le problème n’est pas nouveau, c’est qu’il est anticipé dans la plupart des cas et en particulier dans lesdits secteurs critiques dont l’imminente transposition de la directive NIS2 (le jour où elle arrivera) ne fera qu’améliorer la maturité en termes de cybersécurité. Le grand blackout généralisé n’est pas à portée de main car chacun de
ces systèmes fonctionne selon des logiques différentes, ce qui implique des méthodes d’attaques qui ne sont pas réplicables à loisir.

Dès lors, si l’arbuste cache la forêt, nul doute que celle-ci a déjà été cartographiée… dans la plupart des cas.