Des centaines de supermarchés français ont vu leurs installations frigorifiques perturbées par une cyberattaque. Mais les pirates n'ont pas réellement « piraté des frigos » : ils ont ciblé les systèmes informatiques capables de surveiller et de piloter à distance les équipements de réfrigération.
L'affaire prend une dimension particulière alors que la cyberattaque visant les supermarchés français s'est étendue à plusieurs grandes enseignes.
Derrière les vitrines réfrigérées, congélateurs et chambres froides des magasins se trouve désormais toute une infrastructure numérique : capteurs de température, contrôleurs, alarmes, logiciels de supervision et outils de télémaintenance.
Cette infrastructure permet aux distributeurs et aux frigoristes de gérer plus efficacement la chaîne du froid. Mais lorsqu'un système de contrôle est insuffisamment protégé ou directement exposé sur Internet, une intrusion informatique peut avoir des conséquences très physiques.
Comment peut-on pirater les frigos d'un supermarché ?
Pour comprendre l'attaque, il faut d'abord oublier l'image d'un hacker qui se connecterait individuellement à chaque réfrigérateur.
Dans un supermarché, les équipements frigorifiques peuvent être reliés à des contrôleurs centralisés.
Ces systèmes permettent notamment de :
- surveiller les températures ;
- centraliser les alarmes ;
- superviser plusieurs équipements frigorifiques ;
- gérer certains cycles de fonctionnement ;
- faciliter la maintenance à distance ;
- optimiser la consommation énergétique ;
- intervenir plus rapidement en cas d'anomalie.
Le fabricant Danfoss présente ses gestionnaires de systèmes frigorifiques comme des outils capables de centraliser les informations provenant de plusieurs régulateurs et d'assurer notamment le suivi des températures et des alarmes.
De son côté, Copeland commercialise également des solutions de supervision des installations frigorifiques permettant de surveiller à distance les équipements et les conditions de conservation.
Le problème apparaît lorsque l'interface permettant d'administrer ces installations devient elle-même une porte d'entrée.
Les hackers ne piratent pas directement les frigos, mais leurs contrôleurs
C'est le point essentiel pour comprendre cette cyberattaque.
Les attaquants ne semblent pas avoir eu besoin de compromettre chaque meuble frigorifique séparément.
Ils ont ciblé des contrôleurs à distance capables d'agir sur l'ensemble ou une partie de l'installation frigorifique d'un magasin.
L'autorité française cite notamment plusieurs familles d'équipements :
- Danfoss série AK-SM ;
- Danfoss série AK-SC ;
- Copeland xweb ;
- Dixell xweb.
Le CERT-FR insiste surtout sur un principe majeur de cybersécurité : une interface d'administration de ce type ne devrait pas être directement exposée sur Internet.
Autrement dit, ce n'est pas le caractère électronique du réfrigérateur qui crée principalement le risque.
C'est la présence d'un système capable de commander des équipements physiques à distance, combinée à une architecture réseau insuffisamment sécurisée.
Cette problématique rappelle plus largement pourquoi les failles de cybersécurité deviennent un risque stratégique pour les PME et les entreprises.
Pourquoi les systèmes frigorifiques des supermarchés sont-ils connectés ?
Connecter une installation frigorifique possède pourtant une véritable logique économique et opérationnelle.
Dans une grande surface, plusieurs dizaines voire centaines de points doivent parfois être surveillés en permanence.
Un système centralisé peut permettre de détecter rapidement qu'une température dépasse le seuil prévu.
Il peut également transmettre une alerte sans attendre qu'un salarié constate visuellement le problème.
La supervision à distance permet notamment de :
- suivre les températures quasiment en temps réel ;
- détecter une anomalie ;
- recevoir des alertes automatiquement ;
- surveiller plusieurs magasins ;
- faciliter l'intervention des frigoristes ;
- analyser le fonctionnement des équipements ;
- réduire certaines consommations énergétiques ;
- limiter les pertes alimentaires liées aux pannes.
Ces outils permettent donc aux enseignes de gagner en efficacité.
Mais ils créent parallèlement une nouvelle surface d'attaque.
Comment une cyberattaque peut-elle faire monter la température des frigos ?
Une fois qu'un attaquant obtient un accès non autorisé à un système de supervision, il peut potentiellement agir sur certaines fonctions que ce système est justement conçu pour administrer.
Le mécanisme général peut être résumé ainsi :
installation frigorifique → contrôleur → système de supervision → accès réseau → modification non autorisée → impact physique sur le froidC'est cette chaîne qui rend l'attaque particulièrement intéressante du point de vue de la cybersécurité.
Une cyberattaque traditionnelle peut perturber un ordinateur, voler des données ou rendre un service inaccessible.
Ici, une intrusion numérique peut directement modifier le fonctionnement d'une infrastructure physique.
Selon les informations rapportées par Reuters sur la compromission de systèmes Danfoss, Copeland et Dixell, certaines installations touchées ont atteint des températures avoisinant les 50 °C.
Des marchandises ont dû être détruites et des départs de feu ont également été signalés.
L'enjeu dépasse donc très largement la simple indisponibilité d'un logiciel.
Le dégivrage, une fonction normale qui peut devenir critique
Les équipements frigorifiques doivent régulièrement réaliser des cycles de dégivrage.
Cette fonction est indispensable : l'accumulation de glace peut réduire les performances d'une installation et perturber son fonctionnement.
Dans des conditions normales, ces cycles sont programmés et contrôlés.
Mais une fonction parfaitement légitime peut devenir problématique lorsqu'elle est détournée ou configurée de manière incorrecte.
Le CERT-FR demande ainsi explicitement aux exploitants concernés de contrôler l'intégralité des paramètres de leurs équipements, notamment les plages de dégivrage.
C'est un aspect caractéristique de la cybersécurité industrielle.
L'attaquant n'a pas forcément besoin de détruire directement un équipement.
Il peut chercher à détourner les commandes que la machine utilise déjà pour fonctionner.
Pourquoi l'accès à distance est-il nécessaire aux supermarchés ?
Parce qu'une installation frigorifique doit pouvoir être surveillée et maintenue rapidement.
Lorsqu'une chambre froide ou une vitrine réfrigérée rencontre un problème, chaque heure compte.
Une panne non détectée peut rapidement provoquer la perte de milliers d'euros de marchandises.
La télémaintenance permet à un prestataire ou à un technicien autorisé de :
- recevoir une alerte ;
- consulter les données du système ;
- identifier certaines anomalies ;
- vérifier l'état des équipements ;
- préparer une intervention ;
- dans certains cas, modifier certains paramètres à distance.
L'accès distant constitue donc un véritable outil de productivité.
Le problème n'est pas la télémaintenance elle-même.
Le problème apparaît lorsqu'un accès particulièrement sensible est insuffisamment protégé.
Pourquoi une interface directement exposée sur Internet est-elle dangereuse ?
Un système industriel accessible uniquement depuis un réseau interne correctement segmenté n'est pas exposé de la même manière qu'une interface d'administration accessible publiquement depuis Internet.
Le CERT-FR recommande de supprimer l'exposition directe sur Internet des systèmes concernés.
Lorsqu'un accès à distance reste nécessaire, l'autorité recommande notamment de passer par un VPN sécurisé ou un réseau protégé.
Parmi les autres mesures recommandées figurent :
- la mise à jour des firmwares ;
- le remplacement des mots de passe par défaut ;
- le contrôle des comptes existants ;
- la vérification de la configuration ;
- la rotation des secrets ;
- la remise à l'état d'usine en cas de compromission ;
- la reconfiguration complète des équipements.
Cette problématique rejoint un risque beaucoup plus large : les logiciels et équipements non mis à jour constituent une porte d'entrée majeure pour les cybercriminels.
Le CERT-FR avertit également qu'un équipement vulnérable remis à zéro mais immédiatement réexposé à Internet pourrait être compromis de nouveau.
Qu'est-ce que la cybersécurité OT ?
Cette attaque ne concerne pas uniquement la cybersécurité informatique traditionnelle.
Elle appartient également au domaine de la cybersécurité OT, pour Operational Technology ou technologies opérationnelles.
L'IT classique concerne principalement les systèmes permettant de traiter, transmettre et stocker des informations.
L'OT concerne les technologies qui supervisent ou contrôlent des processus physiques.
Cela peut être :
- une installation frigorifique ;
- une chaîne de production ;
- un automate industriel ;
- un système de climatisation ;
- une pompe ;
- un système énergétique ;
- un entrepôt automatisé ;
- un bâtiment connecté ;
- une installation logistique.
La distinction est fondamentale.
Dans l'univers informatique traditionnel, une attaque peut provoquer une fuite de données ou rendre un logiciel indisponible.
Dans l'univers OT, elle peut également modifier une température, arrêter une production, perturber une chaîne logistique ou dérégler un équipement physique.
La cyberattaque contre les systèmes frigorifiques français constitue donc un exemple particulièrement concret de la convergence entre cybersécurité et risque opérationnel.
Les équipements industriels connectés deviennent-ils une nouvelle cible ?
La transformation numérique des entreprises ne concerne plus uniquement leurs ordinateurs.
Capteurs, automates, machines, caméras, systèmes de climatisation, contrôleurs énergétiques ou installations frigorifiques sont progressivement intégrés aux réseaux informatiques.
Ces équipements peuvent permettre :
- davantage d'automatisation ;
- une meilleure maintenance ;
- une surveillance continue ;
- des économies d'énergie ;
- une réduction des arrêts ;
- une exploitation centralisée des infrastructures.
Mais chaque nouvel équipement connecté peut également agrandir la surface d'attaque de l'entreprise.
Le phénomène concerne particulièrement les systèmes anciens conçus à une époque où leur connexion permanente à Internet n'était pas nécessairement prévue.
La sécurité doit donc être pensée sur l'ensemble de l'infrastructure et pas uniquement autour des ordinateurs des salariés.
Cette logique de cyber-résilience devient progressivement un enjeu de continuité d'activité. Entreprisma avait déjà analysé les recommandations de l'ANSSI pour renforcer la cyber-résilience des entreprises.
Pourquoi cette cyberattaque dépasse largement le secteur des supermarchés
Les supermarchés rendent le phénomène particulièrement visible.
Lorsque les systèmes frigorifiques cessent de fonctionner correctement, les conséquences apparaissent immédiatement :
- vitrines trop chaudes ;
- marchandises impropres à la vente ;
- stocks détruits ;
- interventions techniques ;
- perturbations dans les rayons ;
- risques de rupture de la chaîne du froid.
Mais les mêmes problématiques peuvent concerner beaucoup d'autres secteurs.
Des équipements connectés sont également utilisés dans :
- l'industrie ;
- l'agroalimentaire ;
- la logistique ;
- les entrepôts frigorifiques ;
- les restaurants ;
- les établissements de santé ;
- les bâtiments tertiaires ;
- les infrastructures énergétiques.
La question stratégique posée aux entreprises devient donc beaucoup plus large :
quels équipements indispensables à leur activité peuvent aujourd'hui être administrés à distance ?Et surtout :
ces accès sont-ils suffisamment protégés ?De la cyberattaque informatique au risque opérationnel
L'incident des supermarchés français illustre une transformation profonde de la menace cyber.
Pendant longtemps, les principales conséquences visibles d'une attaque informatique étaient associées à la perte de données, au rançongiciel ou à l'indisponibilité des systèmes.
La multiplication des équipements connectés modifie cette logique.
Une attaque informatique peut désormais avoir une conséquence directe sur :
- des marchandises ;
- une production ;
- un équipement industriel ;
- la consommation énergétique ;
- la sécurité physique ;
- la continuité d'exploitation.
Cette évolution est particulièrement stratégique pour les entreprises.
Lorsqu'un système numérique contrôle une infrastructure physique indispensable à l'activité, la cybersécurité devient directement un sujet de production et de continuité opérationnelle.
Une nouvelle illustration du risque fournisseur et technologique
Les grandes entreprises dépendent également d'un nombre croissant de prestataires, équipements et logiciels externes.
Une organisation peut donc disposer d'une infrastructure informatique correctement sécurisée tout en restant exposée par l'intermédiaire d'un équipement ou d'un fournisseur tiers.
Cette dépendance est déjà apparue dans d'autres cyberattaques.
Fin septembre, Entreprisma analysait par exemple la fuite de données ayant touché des clients de Carrefour après un incident chez un prestataire.
Dans les deux cas, la problématique dépasse la protection du système informatique central de l'entreprise.
La sécurité doit désormais englober :
les fournisseurs, les logiciels, les équipements connectés, les prestataires de maintenance et les accès distants.Comment les entreprises peuvent-elles réduire le risque ?
La réponse ne consiste pas à déconnecter systématiquement tous les équipements.
La connectivité apporte de véritables gains opérationnels.
L'enjeu consiste plutôt à encadrer cette connectivité.
Parmi les principes fondamentaux figurent :
- identifier les équipements accessibles à distance ;
- supprimer les interfaces inutilement exposées sur Internet ;
- segmenter les réseaux informatiques et opérationnels ;
- utiliser des accès sécurisés ;
- remplacer les identifiants et mots de passe par défaut ;
- maintenir les firmwares à jour ;
- supprimer les comptes inutilisés ;
- surveiller les connexions inhabituelles ;
- inventorier les équipements anciens ;
- prévoir une procédure spécifique en cas de compromission.
Cette discipline rejoint plus largement les bonnes pratiques nécessaires pour protéger une PME contre les principales cybermenaces.
L'objectif n'est plus simplement d'empêcher le vol d'informations.
Il s'agit aussi de garantir que les équipements indispensables au fonctionnement de l'entreprise ne puissent pas être détournés à distance.
La cyberattaque des supermarchés marque un changement d'échelle
Selon les informations publiées par l'Associated Press le 15 octobre, environ 700 supermarchés français auraient été touchés par les perturbations, tandis que les autorités françaises considèrent que la campagne pourrait toujours être active.
Le CERT-FR maintient son alerte sur les contrôleurs de réfrigération, ce qui confirme que le sujet reste sous surveillance.Mais au-delà du bilan, cette affaire constitue surtout un avertissement pour l'ensemble des entreprises.
La question n'est plus seulement de savoir si leurs ordinateurs sont protégés.
Elle devient :
quels équipements physiques dépendent désormais de leur infrastructure numérique ?À mesure que les entreprises connectent leurs bâtiments, machines et installations techniques, la frontière entre cyberattaque et incident industriel devient de plus en plus mince.
Et la cyberattaque contre les frigos des supermarchés français vient d'en apporter une démonstration particulièrement concrète.
