Une cyberattaque fait fondre les rayons : un signal d'alarme pour les systèmes industriels connectés

L'essentiel de votre hack'tu cybersécurité

• Une cyberattaque brise la chaîne du froid auprès de nombreux supermarchés : 300 à 400 supermarchés auraient été touchés, après la modification à distance de contrôleurs de réfrigération, avec des risques économiques et sanitaires liés à la rupture de la chaîne du froid. Après avoir initialement ciblé des centaines de magasins français, la cyberattaque s'est propagée à travers l’Europe ;
• Des équipements potentiellement vulnérables : l’attaque aurait exploité des superviseurs de froid anciens ou mal sécurisés : interfaces exposées, télémaintenance insuffisamment protégée et mots de passe faibles figurent parmi les pistes étudiées ; l’enquête est en cours ; 
• Une menace qui dépasse la grande distribution : cet incident rappelle que la compromission des systèmes industriels connectés (IT / OT) est en constante augmentation et peut perturber des activités essentielles. Leur sécurisation - mises à jour, contrôle des accès et réduction de l’exposition à Internet - devient urgente.

Les systèmes industriels à nouveau pris pour cible

Dans la nuit du 11 au 12 octobre, plusieurs centaines de supermarchés français ont été victimes d'une cyberattaque visant leurs équipements de réfrigération. En modifiant à distance les paramètres de superviseurs frigorifiques, les attaquants auraient provoqué la rupture de la chaîne du froid dans de nombreux magasins, avec un impact économique et surtout sanitaire important. Cet incident illustre parfaitement la volonté et capacités de groupes cybercriminels et hacktivistes de s’attaquer aux systèmes industriels connectés - on parle également de systèmes IT / OT - aujourd’hui des cibles de premier ordre. Trois semaines après cette première vague, d’autres pays européens ont également été touchés. 

Une attaque capable de briser la chaîne du froid à grande échelle

Les conséquences de cette cyberattaque sont bien réelles puisque 300 à 400 magasins, appartenant notamment aux enseignes Intermarché, Netto, Système U et Leclerc auraient été impactés en France.

15 supermarchés Carrefour en Belgique ont été touchés par la cyberattaque dans la nuit du 1er au 2 novembre. D’autres magasins de détail, appartenant à Ahold Delhaize, Intermarché, Colruyt et Ikea auraient également été ciblés en Belgique et au Luxembourg. En Suède, les marques de détail ICA et Coop ont traversé des épreuves similaires, rapporte Le Figaro⁽¹⁾. Selon le journal belge Le Soir ⁽²⁾, Spar, les magasins de proximité shop & go dans les stations-service Q8 et les mini-marchés Proxy Delhaize ont également été ciblés. En outre, The Guardian affirme que les magasins d’Estonie, d’Irlande, de Finlande et des Pays-Bas sont également concernés ⁽³⁾. 

Quand on sait les conséquences des risques sanitaires liés à la rupture de la chaîne du froid, ce nouvel épisode n’est pas à prendre à la légère. Il marque une tendance de fond chez les cyberattaquants, cybercriminels et hacktivistes alignés sur des intérêts étatiques : cibler les systèmes industriels ou systèmes IT/ OT (Informational Technologies / Operational Technologies) avec un impact réel sur la vie quotidienne des citoyens.  

Un mode opératoire qui n’a pas froid aux yeux

Les attaquants auraient modifié à distance les paramètres de superviseurs de froid – on parle également de contrôleurs à distance des installations de réfrigération - de marque Danfoss, Copeland, et Dixell ⁽⁴⁾. Par ce biais, ils auraient notamment réussi à forcer l’activation du dégivrage et la neutralisation partielle des alarmes. Les vulnérabilités qui ont permis aux attaquants de briser la chaîne du froid seraient liés à des appareils de supervision du froid d’ancienne génération, qui ne recevaient plus de mise à jour de sécurité. 

Contrairement à une attaque de type ransomware ou rançongiciel, aucune rançon n’a été demandée et aucune exfiltration de données n’a été signalée à ce stade. C’est une démonstration de force dont l’impact est surtout opérationnel, financier et sanitaire. 

Plusieurs hypothèses concernant la compromission initiale

Le parquet de Paris a d’ores et déjà ouvert une enquête. Si à ce stade aucune cause officielle sur l’origine de la compromission de ces équipements n’est établie, plusieurs hypothèses crédibles peuvent être évoquées : 

• Des interfaces d’administration exposées sur internet ; 
• Des accès de télémaintenance insuffisamment sécurisés ; 
• Des mots de passe faibles et / ou des équipements non mis à jour. 

Cette campagne est probablement toujours en cours : d’autres secteurs industriels, d’autres pays et d’autres technologies pourraient être impactées, tant que des actifs sont toujours exposés. Onyphe⁽⁵⁾ recense 6 212 adresses IP dans 95 pays qui exposent l'interface Danfoss sur Internet, dont près de la moitié en France. De son côté Modat⁽⁶⁾ compte environ 5 000 superviseurs Danfoss SM800A et près de 4 000 équipements Copeland exposés, surtout aux États-Unis et en Italie, précise Pierre-Yves Amiot, Directeur opérationnel du CERT chez Orange Cyberdefense. 

Une menace qui dépasse le cadre de la grande distribution

Cette attaque marque un tournant : quelques modifications de paramètres ont suffi pour provoquer des conséquences économiques et sanitaires à grande échelle.

Cette campagne démontre que la cybersécurité ne concerne plus uniquement les systèmes d'information. Les équipements industriels, les infrastructures techniques et les objets connectés qui pilotent le monde physique sont désormais des cibles à part entière, rappelle Christophe Dernys, Head of Trusted Solutions. 

Les cyberattaques qui touchent les supermarchés au Royaume-Uni et en Europe montrent comment les incidents peuvent rapidement s’étendre au-delà des perturbations informatiques, affectant l’approvisionnement alimentaire, les entreprises et les consommateurs, déclare Charl van der Walt, responsable mondial de la recherche sur la sécurité chez Orange Cyberdefense.

Le mode opératoire qui consiste à exploiter une ou plusieurs failles au niveau de la chaîne d’approvisionnement d’une ou plusieurs enseignes peut également s’appliquer à d’autres ressources et sites industriels essentiels voire critiques : entrepôts logistiques, industrie agroalimentaire, sites pharmaceutiques, usines de production, infrastructures techniques critiques, énergétiques, hydrauliques ou nucléaires.  

Pour les RSSI, les responsables industriels et les directions métiers, la question n'est plus de savoir si ces systèmes doivent être sécurisés, mais à quelle vitesse cette sécurisation peut être mise en œuvre, conclut Christophe Dernys. 

Sources et notes