Les systèmes de réfrigération de supermarchés dans neuf pays européens auraient été perturbés lundi, à la suite d'une attaque qui a touché environ 700 des 10 000 supermarchés français en octobre. L'agence nationale de cybersécurité française, CERT-FR, a relié ces compromissions à des modules de contrôle à distance fabriqués par Danfoss et Copeland, deux fournisseurs établis de commandes et de composants pour la réfrigération commerciale. Aucun groupe n'a revendiqué la responsabilité. Ces incidents soulignent à quel point la réfrigération des supermarchés, largement gérée via des contrôleurs connectés à Internet, peut être perturbée à distance et à grande échelle.

Des magasins en Belgique, en Estonie, en Finlande, en Irlande, en Italie, au Luxembourg, aux Pays-Bas, au Portugal et en Suède ont signalé des problèmes. En Estonie, certains systèmes de réfrigération auraient été forcés d'atteindre 50 °C (122 °F). Le gouvernement italien devait tenir mardi une réunion sur la cybersécurité, tandis que CERT-FR a averti que les campagnes étaient probablement toujours en cours.

La première vague signalée s'est produite en France. Le ministre des Finances Roland Lescure a indiqué au Parlement le 13 octobre qu'environ 700 supermarchés avaient été touchés. Selon CERT-FR, des pirates informatiques ont forcé les systèmes en cycles de dégivrage continus, entraînant la perte de denrées alimentaires et provoquant des incendies dans certains magasins. L'agence a déclaré avoir connaissance de nombreuses compromissions impliquant des modules de contrôle à distance Danfoss et Copeland.

Groupement Mousquetaires, qui possède les enseignes Intermarché et Netto, a indiqué que 300 de ses magasins avaient été affectés. Coopérative U a déclaré que 80 de ses 2 000 magasins avaient été touchés. Lescure a affirmé que l'approvisionnement alimentaire n'était pas menacé, tout en reconnaissant que l'attaque « touche au cœur de notre sécurité alimentaire ». Certains meubles frigorifiques de Mousquetaires sont restés hors service mardi.

Les incidents de lundi ont affecté plusieurs chaînes de supermarchés en Belgique. Carrefour a signalé des perturbations dans environ 15 de ses 700 magasins. L'entreprise belge de froid Sabcobel a indiqué que des évaporateurs avaient été basculés en mode dégivrage — normalement un cycle périodique destiné à éliminer l'accumulation de glace, mais qui réchauffe les compartiments alimentaires lorsqu'il est forcé de fonctionner en continu — et les parquets fédéraux ont ouvert une enquête. Quatre magasins Delhaize au Luxembourg ont également signalé des problèmes.

En Italie, le groupe Radenza, qui exploite des magasins sous enseigne Coop en Sicile, a indiqué que l'attaque avait commencé à 4 heures du matin, heure locale, et ciblait le système de contrôle à distance des rayons surgelés. Le groupe irlandais Musgrave a signalé que 13 magasins SuperValu avaient été touchés, tandis que Mosqueteiros a confirmé des incidents dans sept magasins Intermarché au Portugal.

À 50 °C (122 °F), un congélateur dépasse largement une température de fonctionnement sûre. Les aliments laissés trop longtemps dans ces conditions peuvent se détériorer rapidement et favoriser la prolifération de bactéries.

En Suède, Coop a indiqué que six de ses quelque 800 magasins avaient été touchés. L'entreprise a précisé que ces magasins utilisaient des connexions 4G, ce qui les rendait « plus exposés ». Ica a déclaré qu'un nombre limité de ses magasins avait rencontré des problèmes et que les sites affectés utilisaient un système de contrôle Danfoss externe. Aucune des deux chaînes suédoises n'a confirmé que les incidents résultaient d'une cyberattaque. Le détaillant finlandais Kesko a indiqué qu'une interférence réseau n'était pas exclue.

Le commissaire européen à l'Agriculture Christophe Hansen a qualifié ces incidents de « tentative délibérée » de perturber la chaîne d'approvisionnement alimentaire. Les enquêteurs n'ont pas établi si les incidents de lundi étaient liés à l'attaque antérieure en France.

L'entreprise estonienne de réfrigération Kitman Coldtech a indiqué que les unités affectées étaient d'anciens modèles Danfoss similaires à ceux attaqués en France. CERT-FR a averti que laisser un appareil en fin de vie, sans correctifs de sécurité, connecté à Internet crée un risque de compromission très élevé.

Les chercheurs de Claroty ont révélé en août des vulnérabilités dans les contrôleurs Danfoss AK-SM 800A, notamment une faille de contournement d'authentification. La gamme AK-SM 800A est utilisée pour surveiller et gérer les systèmes de réfrigération des supermarchés, et Claroty a identifié 2 765 de ces appareils exposés en ligne. Danfoss a corrigé ces vulnérabilités dans le firmware R4.3.1, mais on ignore encore quelles faiblesses les attaquants ont exploitées.

CERT-FR conseille aux opérateurs de retirer ces contrôleurs de l'Internet public. Le directeur général de Sabcobel a indiqué que de nombreuses unités anciennes nécessitent des modifications matérielles impliquant des investissements. D'ici là, les systèmes les plus anciens pourraient ne disposer d'aucune correction technique pratique. CERT-FR a déclaré que la campagne était probablement toujours active, tandis que l'Italie se préparait à sa réunion sur la cybersécurité mardi.

Source : Decrypt.