Le piratage du froid touche 700 magasins français

Le 13 octobre, le ministre de l’Économie Roland Lescure a indiqué que 700 magasins alimentaires environ, sur 10 000 en France, avaient été touchés par une cyberattaque. Elle n’a pas provoqué de pénurie nationale, mais des contrôleurs d’un deuxième fabricant ont aussi été visés.

Dans un grand magasin, le froid dépend de contrôleurs connectés. Cette semaine, des intrus ont montré qu’une modification à distance pouvait transformer un réglage technique en problème de sécurité alimentaire.

Être touché ne signifie pas que les produits ont été perdus. Le chiffre de Lescure compte les magasins attaqués, pas ceux qui ont dû jeter des denrées. Dans un Intermarché de Gradignan, un commissaire de justice a évalué à 21 000 € le coût d’achat des stocks avariés (Le Monde). Nous avions rendu compte de la première nuit de dégâts (To Brief ; depuis, le bilan officiel s’est alourdi et une deuxième marque d’équipements a été visée.

Un tableau de commande accessible par une page web

Un grand magasin ne pilote pas chaque vitrine réfrigérée comme un réfrigérateur domestique. Un contrôleur central joue le rôle du thermostat d’un immeuble de bureaux : les techniciens y surveillent les températures et les alarmes de toute l’installation, souvent depuis une page web accessible à distance. Il gère aussi le dégivrage, qui réchauffe brièvement les serpentins pour faire fondre la glace accumulée.

Les enseignes indiquent que les attaquants ont modifié les paramètres du dégivrage, avec des valeurs qui auraient atteint 50 °C (BFMTV). Ce chiffre était saisi dans le contrôleur ; il ne correspond pas à une mesure prise à l’intérieur d’un pot de yaourt. Une fois les paramètres altérés, les magasins ne pouvaient plus garantir le respect de la chaîne du froid : il a donc fallu contrôler les produits, et parfois les jeter.

L’équipe nationale de réponse aux incidents informatiques, CERT-FR, a confirmé de nombreuses compromissions de contrôleurs Danfoss AK-SM et AK-SC. Elle a qualifié de mauvaise pratique le fait d’exposer leurs interfaces de gestion directement sur l’internet public (CERT-FR). En langage de thermostat, cela revient à fixer le panneau de commande de l’immeuble sur le trottoir.

Le fabricant danois Danfoss a livré sa propre version : la plupart des appareils touchés seraient d’anciens modèles, retirés du marché en 2016 pour une gamme et en 2021 pour l’autre ; ses propres réseaux n’auraient pas été affectés (Cooling Post). Les enquêteurs n’ont pas rendu public le mode d’accès des attaquants.

Dans la nuit du 12 au 13 octobre, la liste s’est élargie : des magasins équipés de contrôleurs d’un deuxième fabricant, Dixell, ont signalé des réglages altérés (Le Monde). Dans un supermarché de Gironde, le personnel a repéré les changements avant qu’il soit nécessaire de jeter des produits. On ne sait pas encore si les cas liés à Dixell relèvent de la même attaque.

Des rayons vides en Belgique, pour une autre raison

Un incident distinct, de l’autre côté de la frontière, a touché les rayons par l’intermédiaire de la logistique, et non des systèmes frigorifiques. Le dimanche 11 octobre, Ahold Delhaize, propriétaire d’Albert Heijn et de Delhaize, a découvert un problème de sécurité sur son réseau et a mis des systèmes hors ligne par précaution (Ahold Delhaize). Les magasins sont restés ouverts, mais les commandes en ligne et les livraisons ont été interrompues. Le directeur général d’Albert Heijn a indiqué que l’activité s’était complètement arrêtée dans certains des sept grands centres de distribution de l’enseigne aux Pays-Bas (NOS).

Les magasins Albert Heijn de Belgique dépendent de l’un de ces centres, situé à Tilburg (VRT), et la presse belge a rapidement signalé des rayons vides dans un magasin de Roeselare. Le calendrier invite à rapprocher cet incident de l’attaque française, mais Ahold dit n’avoir relevé aucun indice en ce sens, et le Centre national néerlandais de cybersécurité « ne voit actuellement aucune raison de le supposer » (Security.NL).

La faille mise en évidence en France existe ailleurs. Le média danois spécialisé dans l’ingénierie Ingeniøren a repéré au Danemark 51 installations frigorifiques Danfoss anciennes accessibles depuis l’internet public, sans qu’aucune compromission ait été signalée (Ingeniøren). Ce chiffre désigne des accès ouverts, pas des intrusions. CERT-FR avertit qu’un appareil dont le support a pris fin peut être compromis à nouveau si on le réinitialise tout en le laissant accessible sur l’internet public (CERT-FR). Les distributeurs et leurs prestataires frigoristes n’ont pas besoin d’attendre que l’enquête française révèle le mode opératoire. Un contrôleur retiré de l’internet public, ou remplacé, est beaucoup plus difficile à atteindre de l’extérieur.