Le piratage de réfrigérateurs de supermarché cible les contrôleurs intelligents et menace la chaîne d’approvisionnement alimentaire

Dans ce qui ne peut être décrit que comme une nouvelle menace grave pour la chaîne d’approvisionnement alimentaire, des acteurs malveillants ont piraté les régulateurs de température intelligents d’une grande chaîne de supermarchés en France, et toute la nourriture a dû être jetée.

Les pertes liées au gaspillage alimentaire se sont élevées à des dizaines de millions d’euros, mais ce ne sont pas les conséquences financières qui ont mis les autorités françaises de cyberdéfense en état d’alerte maximale.

Dans la nuit du 11 octobre, des attaquants ont pris le contrôle des régulateurs de réfrigération de centaines de supermarchés français et ont fait passer les réfrigérateurs et les congélateurs en mode dégivrage, les températures ayant reportedly atteint 50°C. Les Mousquetaires, propriétaire d’Intermarché, indique que les magasins touchés ont dû jeter tous les produits concernés, et son dirigeant s’attend à des pertes de plusieurs dizaines de millions d’euros. Carrefour, Coopérative U, Monoprix et E.Leclerc ont également été touchés, même si certaines enseignes affirment que la réaction rapide du personnel a permis de sauver la majeure partie de leurs stocks.

Le point d’entrée était le contrôleur à distance qui gère le système de refroidissement d’un magasin, principalement des modèles Danfoss AK-SM et AK-SC que les prestataires frigoristes administrent via Internet. Danfoss indique que la majorité de ces appareils sont anciens et ne reçoivent plus de mises à jour. Le CERT-FR a depuis ajouté les appareils Copeland xWeb et Dixell xWeb à son alerte. Il prévient également qu’une réinitialisation aux paramètres d’usine d’un équipement qui n’est plus pris en charge est inutile, car l’appareil sera tout simplement compromis à nouveau. Personne n’a revendiqué l’attaque, et la manière dont les attaquants se sont introduits dans les systèmes reste, à ce stade, non confirmée.

Les pirates ciblent toutefois précisément ce type de matériel oublié, dont la page d’administration est accessible sur l’Internet public, probablement installé des années auparavant par un prestataire qui ne s’en est plus jamais préoccupé. Les chercheurs de Claroty ont alerté en août sur des milliers d’interfaces Danfoss exposées, et Danfoss a lui-même signalé des attaques similaires contre des supermarchés en Russie et en Israël en 2022.

Les enjeux liés à l’approvisionnement alimentaire font toutefois de ce piratage une véritable menace, car les supermarchés fonctionnent avec de faibles marges et une rotation serrée des stocks, et les denrées avariées ne peuvent pas être remplacées du jour au lendemain. S’en prendre aux magasins d’une capitale ennemie entraînerait, par exemple, des rayons vides, et Reuters cite un analyste affirmant que des cas ont également été constatés en Espagne, au Portugal, en Pologne, en Allemagne et en Belgique.

Pour l’instant, ces attaques informatiques contre les infrastructures publiques ressemblent davantage à une démonstration de faisabilité visant à tester les capacités et la réaction. En 2021, un attaquant a accédé à la station de traitement de l’eau d’Oldsmar, en Floride, et a tenté d’augmenter les concentrations de soude caustique ; seul un opérateur qui observait les mouvements du curseur l’en a empêché. En 2015, le réseau électrique ukrainien a été coupé pour environ 230 000 clients. Colonial Pipeline et l’entreprise de transformation de viande JBS ont eux aussi été mis à l’arrêt à la suite d’attaques par rançongiciel, et la côte Est des États-Unis a subi des pénuries de carburant.

Dans tous les cas, la cause semble être des systèmes exposés et mal protégés, pour lesquels des mesures correctives simples sont souvent négligées. Les analystes en cybersécurité recommandent de retirer les contrôleurs de l’Internet public, de protéger l’accès à distance derrière un VPN et de remplacer les équipements connectés obsolètes plutôt que d’espérer que tout se passera bien, même s’ils fonctionnent encore correctement.