🚨 Alerte cyberattaque – Contrôleurs Danfoss

Dans la nuit du 11 au 12 octobre, des congélateurs de supermarchés se sont mis à chauffer.

Plusieurs centaines de magasins en France ont retrouvé au petit matin leurs meubles froids et chambres froides en dégivrage forcé, avec une consigne qui aurait été réglée à 50 °C. Des rayons entiers de frais et de surgelés sont partis à la benne. Deux magasins en Alsace évoquent à eux seuls environ 270 000 € de pertes. Le parquet de Paris a ouvert une enquête.

Aucune donnée volée, aucune demande de rançon. Les attaquants auraient simplement détourné une fonction normale du contrôleur, le dégivrage, en la faisant tourner en continu.

Ce qui est frappant, c’est que rien de tout ça n’était vraiment imprévisible. Selon Danfoss, les contrôleurs touchés étaient soit en fin de vie, soit pas à jour. Des vulnérabilités sur ces équipements avaient été présentées publiquement cet été, et un correctif existait. Le jour même de l’attaque, un chercheur comptait près de 1600 systèmes de ce type joignables depuis Internet, rien qu’en France.

Le scénario était documenté. Il manquait quelqu’un pour le regarder.

Sur le terrain, c’est souvent là que ça coince. Le froid, la GTB, le contrôle d’accès ou la vidéo sont installés et maintenus par des prestataires, avec un accès distant ouvert « pour la maintenance ». Le RSSI ne les a pas dans son inventaire, le frigoriste ne se pose pas la question cyber, et chacun pense que l’autre s’en occupe.

Quelques questions à se poser dès cette semaine, même sans être un supermarché :
– Quels équipements techniques de mes sites sont joignables depuis Internet ?
– Qui s’y connecte à distance, avec quels identifiants, et qui coupe ces accès quand un contrat se termine ?
– Si l’un d’eux se mettait à dérailler un dimanche à 2h du matin, combien de temps avant que quelqu’un s’en rende compte ?

Cette dernière question a pesé lourd ici : l’heure de déclenchement, en pleine nuit, a largement aggravé les pertes.

Alors, ces équipements entrent-ils dans le périmètre de l’analyse de risques, ou restent-ils l’affaire du service technique ?