« Des défauts de sécurisation élémentaire et des mots de passe faibles » ont permis la cyberattaque contre les frigos de supermarchés

Une forme de négligence. La cyberattaque qui a visé les frigos de plusieurs chaînes de supermarchés la nuit du 12 au 13 octobre serait due à des « défauts de sécurisation élémentaires », a fait savoir ce mercredi 21 octobre Vincent Strubel, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Auditionné par la commission des Affaires étrangères du Sénat, ce responsable a balayé les « analyses tierces », diffusées par certains médias, et faisant état d’une exploitation « des vulnérabilités [des systèmes] rendues publiques par différents chercheurs en cybersécurité au cours des deux années précédentes ».

« Notre analyse, c’est que ce sont des défauts de sécurisation élémentaire qui ont été exploités, à commencer par l’exposition directe sur Internet d’équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles, ce genre de choses… », a détaillé le patron de l’ANSSI. Il évoque « des vulnérabilités assez classiques qui font l’objet de recommandations ».

Un guide sur la sécurisation des systèmes industriels

Lors de cette attaque, plus de 700 supermarchés français des enseignes Leclerc, Intermarché et Super U ont perdu le contrôle du logiciel de régulation de leurs systèmes frigorifiques. Les attaquants ont fait monter les températures, compromettant ainsi la conservation des denrées alimentaires, avec, dans certains cas, plusieurs centaines de milliers d’euros de marchandises envoyées à la poubelle.

« Depuis 2014, l’ANSSI publie et met à jour un guide sur la sécurisation des systèmes industriels, dont la première recommandation est de ne pas à les exposer directement sur Internet. Mais, à l’évidence, nos recommandations ne sont pas systématiquement respectées », a déploré Vincent Strubel devant les sénateurs.

Le directeur de l’ANSSI rappelle par ailleurs que d’autres secteurs peuvent être concernés par ce type d’attaques. « Des frigos, vous en avez dans les supermarchés, mais vous en avez aussi dans plein dans d’autres secteurs, notamment le secteur de la santé, depuis les laboratoires de recherche jusqu’aux pharmacies qui stockent des vaccins », pointe-t-il. « Nous avons mené un travail rapide et intense avec l’ensemble des acteurs de la santé pour nous assurer que ces frigos utilisés pour stocker des choses, parfois dangereuses, parfois indispensables à la sécurité de nos concitoyens, étaient bien protégés. »

Cyberdélinquance : une nouvelle forme de petite criminalité

Au cours de la même audition, Nicolas Roche, secrétaire général du Secrétariat général de la Défense et de la Sécurité nationale (SGDSN) a alerté sur « la massification du volume des attaques hybrides : cyber, drones, espionnage… » ces derniers mois. Il a également voulu attirer l’attention sur l’émergence « de menaces de très faible sophistication mais à très fort impact politique, qui relèvent d’une petite criminalité, jeune, endogène ». Vincent Strubel évoque ainsi un phénomène « endémique ». Il décrit « de jeunes français que l’on a déjà vu à l’œuvre contre l’Etat, surtout motivés par des enjeux réputationnels, et qui ne gagnent pas d’argent ou très peu » avec ce type d’opération.