Par Simon Barbarit
Temps de lecture :
4 min
Publié le
En matière de cybersécurité, il y a de mauvaises pratiques qui coûtent cher. Dans la nuit de dimanche à lundi, plusieurs enseignes de supermarchés françaises ont été victimes d’une cyberattaque « inédite » visant leurs installations frigorifiques. Pas de données volées, mais des produits frais à jeter. « Dans un petit magasin », les pertes peuvent atteindre « quelques dizaines de milliers d’euros », quand « dans un hypermarché, cela peut monter à 180 000, 200 000 euros », a indiqué sur RTL le PDG de Coopérative U, Dominique Schelcher, dont 90 magasins ont été touchés, ainsi que 300 magasins Intermarché/Netto, mais aussi plusieurs du groupement E.Leclerc, 80 supermarchés Carrefour et une trentaine de Monoprix.
Les pirates ont réussi, à distance, « à mettre en dégivrage tous nos meubles froids et à les monter en température jusqu’à 50 degrés », a expliqué le patron des Mousquetaires/Intermarché, Thierry Cotillard, lundi soir sur BFMTV. Ce sont les systèmes de régulation frigorifique du fabricant danois Danfoss qui ont été ciblés.
Pas vraiment une surprise pour les experts en cybersécurité de la société Synacktiv. « Effectivement, ce sont des systèmes de réfrigération qu’on retrouve exposés sur Internet en raison d’une mauvaise configuration opérée par l’enseigne pour des raisons de praticité. Nous avons repéré cette vulnérabilité après un audit en 2023 d’une enseigne de la grande distribution. Nous l’avons remontée au constructeur Danfoss », rapporte Kevin Tellier, expert en cybersécurité chez Synacktiv. « Cette vulnérabilité prend la forme d’un contournement d’identification. Le réfrigérateur est facilement accessible sur Internet sous la forme d’une interface de connexion avec un nom d’utilisateur et un mot de passe. Même si le mot de passe est robuste, l’identification est facilement contournable », ajoute-t-il.
En guise de bonnes pratiques, l’expert rappelle que le réseau de réfrigérateurs ne doit être accessible qu’en magasin ou sur un réseau dédié. « La plupart des directeurs de magasin étaient loin d’imaginer jusqu’ici qu’il pouvait y avoir ce genre d’attaques. C’était de la science-fiction, pour eux. Plein d’autres réfrigérateurs de la grande distribution sont probablement encore accessibles. Pas plus tard qu’il y a quinze jours, nous en avons repéré un ».
Le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), Vincent Strubel, a, lui aussi, rappelé qu’il était « urgent de les déconnecter d’internet, ou d’adopter, a minima, une politique de filtrage réseau très restrictive ». La Fédération du commerce et de la distribution (FCD) a appelé de son côté Danfoss et ses clients frigoristes « à une transparence totale sur la situation et à la mise en œuvre sans délai de toutes les mesures nécessaires ».
Lundi, la société Danfoss s’est défendue en assurant que « la majorité des unités touchées » étaient « des produits anciens qui ne bénéficiaient plus de mises à jour logicielles ou de sécurité ». L’entreprise a assuré « recommander depuis longtemps à ses clients de maintenir les systèmes pris en charge à jour et de migrer les systèmes hérités vers des solutions de génération actuelle ».
Face aux vulnérabilités affectant les produits numériques, l’Union européenne a adopté en 2024 un nouveau règlement : le Cyber Resilience Act (CRA). Il impose, notamment, aux entreprises dont les produits comportent des éléments numériques, de prendre en compte la cybersécurité dès la phase de conception et de l’assurer tout au long du cycle de vie du produit. « Cette attaque ne semble à première vue pas très perfectionnée et le produit présente des vulnérabilités assez anciennes. Ça rappelle à tout le monde que s’il est nécessaire de se préoccuper des nouvelles menaces liées à l’IA, il ne faut pas oublier les vielles vulnérabilités contre lesquelles on nous met en garde depuis longtemps », conclut Renaud Feil, fondateur de la société Synacktiv.
Pour aller plus loin
Politique
« Il ne peut y avoir ni ambiguïté, ni accommodement, ni complaisance : le cordon sanitaire doit se traduire par des actes », soutiennent dans un communiqué commun les groupes PS, communiste et écologiste du Sénat, face à la création du premier groupe RN/UDR de la Haute assemblée. Ils appellent à ne rien voter qui émanerait de l’extrême droite.
Le
Politique
Le ministre des Comptes publics assure que le gouvernement n’est pas dans l’affrontement des générations, avec son projet de désindexation partielle des pensions de retraite. Il souligne qu’il laissera le choix du curseur aux parlementaires, et la possibilité d’être plus souple, le cas échéant, avec l’évolution de l’abattement fiscal dont bénéficient les retraités.
Le
Politique
« L’union, ça ne peut pas être l’union des seuls socialistes », prévient François Hollande
L’ancien président de la République appelle à « l’union », face aux défis qui attendent le pays. Invité à réagir à la victoire de Raphaël Glucksmann à la primaire sociale-démocrate, il a indiqué que « la première étape était plutôt bonne ». « Continuons le combat », a-t-il appelé.
Le
Politique
« Il va y avoir un travail en commun des sénateurs qui soutiennent Raphaël Glucksmann », soutient le sénateur de Paris, après la victoire écrasante de Raphaël Glucksmann à la primaire de la gauche sociale-démocrate. Il tend notamment « la main » aux sénateurs écologistes, qu’il a rejoints. Mais du côté du groupe PS, l’initiative laisse pour l’heure plus dubitatif.
Le