Les congélateurs sont censés être l'élément le plus ennuyeux d'une épicerie. Cette semaine, ils sont devenus un sujet de sécurité. Les systèmes de réfrigération de chaînes d'épiceries dans six pays européens ont mal fonctionné, certaines températures de congélateurs atteignant 122 °F (50 °C), obligeant les magasins à jeter de la nourriture. L'incident est soupçonné d'être une cyberattaque contre des congélateurs de supermarchés, et il a renouvelé les inquiétudes concernant les logiciels obsolètes vulnérables qui fonctionnent dans le monde physique.

L'attribution est encore décrite comme suspectée, il convient donc de rester prudent quant à ce qui est connu et ce qui ne l'est pas. Ce qui est clair, c'est le schéma : un logiciel qui contrôle un équipement physique est tombé en panne d'une manière qui semble délibérée, et les conséquences se sont mesurées en stocks avariés plutôt qu'en données volées.

Ce qui est arrivé aux congélateurs de supermarchés

Selon les informations rapportées, les systèmes de réfrigération de chaînes d'épiceries dans six pays ont cessé de fonctionner normalement. Dans certains cas, les températures des congélateurs ont grimpé jusqu'à 122 °F. Les magasins ont dû jeter des aliments qui ne pouvaient plus être conservés de manière sûre pour la vente.

La couverture de la partie française de l'incident décrit des pirates prenant le contrôle du logiciel qui régule les unités de réfrigération et forçant certaines à se réchauffer pendant la nuit. Certains rapports estiment à plusieurs centaines le nombre d'unités françaises touchées. Danfoss, un fabricant d'équipements de réfrigération, aurait déclaré à l'AFP que la plupart des équipements touchés étaient des produits « obsolètes » qui « ne reçoivent plus de mises à jour logicielles ou de sécurité ». Nous n'avons pas vérifié ces chiffres de manière indépendante, et l'enquête semble toujours en cours.

Les dommages dans ce cas ont été principalement financiers et opérationnels : stocks perdus, magasins perturbés et personnel chargé du nettoyage. Mais le même type d'accès pourrait en principe affecter tout système qui contrôle la chaleur, le froid, l'eau ou l'électricité.

Pourquoi les logiciels obsolètes rendent possible une cyberattaque contre des congélateurs de supermarchés

Les contrôleurs de réfrigération appartiennent à une catégorie appelée technologie opérationnelle (OT). Contrairement à un ordinateur portable ou à un téléphone, ces appareils sont conçus pour fonctionner pendant de nombreuses années avec une attention minimale. Ils sont installés, connectés à un réseau pour que les techniciens puissent les surveiller, puis largement oubliés.

Cette conception crée plusieurs faiblesses bien connues :

  • Plus de mises à jour. Lorsqu'un fabricant cesse d'émettre des correctifs de sécurité pour un produit, toute faille découverte par la suite reste ouverte de façon permanente. La déclaration de Danfoss rapportée pointe directement ce problème.
  • Gestion à distance par conception. Les systèmes centralisés permettent aux techniciens de diagnostiquer les problèmes et de pousser des changements sans se rendre dans chaque magasin. Cette commodité donne aussi à un attaquant un point unique à cibler si le système est accessible depuis Internet ou mal protégé.
  • Longues durées de vie. Un équipement acheté il y a dix ans peut encore fonctionner parfaitement comme congélateur tout en étant impossible à défendre comme ordinateur en réseau.
  • La sûreté avant la sécurité. Ces systèmes ont souvent été conçus pour continuer à fonctionner de manière fiable, et non pour résister à un intrus déterminé.

Rien de tout cela n'est propre aux supermarchés. Les hôpitaux, les usines et les systèmes de gestion des bâtiments partagent le même compromis entre disponibilité et application de correctifs.

Ce que cela signifie pour vous

La plupart des lecteurs ne dirigent pas une chaîne d'épiceries, mais beaucoup gèrent des versions plus petites de la même configuration. Un foyer ou une petite entreprise peut avoir un routeur, une caméra réseau, un thermostat intelligent, un réfrigérateur connecté, un disque NAS ou un terminal de point de vente. Chacun est un petit ordinateur relié à Internet, et beaucoup ont été achetés il y a des années et jamais mis à jour.

La leçon de l'incident des congélateurs n'est pas que votre appareil de cuisine est sur le point de cuire vos aliments. C'est que les appareils exposés à Internet avec des logiciels obsolètes constituent une voie réaliste pour pénétrer un réseau, et que l'impact peut dépasser les données pour atteindre les opérations physiques. Pour un petit café, un restaurant ou une boutique disposant d'une chambre froide reliée à un service de surveillance à distance, le scénario n'est pas tiré par les cheveux. Des stocks avariés nuisent bien plus à une petite entreprise qu'à une grande chaîne.

Votre routeur est le plus important ici. C'est la porte de tous les autres appareils. S'il est ancien, non corrigé ou géré avec un mot de passe par défaut, tout ce qui se trouve derrière lui hérite de ce risque.

Comment sécuriser les appareils connectés et les routeurs

Vous n'avez pas besoin d'outils spécialisés pour réduire votre exposition. Un court audit fait beaucoup :

  1. Listez ce qui est connecté. Consultez la liste des appareils de votre routeur et notez tout ce que vous ne reconnaissez pas ou que vous n'utilisez plus. Débranchez ce dont vous n'avez pas besoin.
  2. Mettez à jour le firmware. Installez les dernières mises à jour sur votre routeur et sur chaque appareil connecté. Activez les mises à jour automatiques lorsqu'elles sont proposées.
  3. Vérifiez le statut de fin de vie. Renseignez-vous pour savoir si le fabricant prend encore en charge chaque appareil. Si un produit ne reçoit plus de mises à jour de sécurité, prévoyez de le remplacer, ou au moins de l'isoler.
  4. Changez les identifiants par défaut. Remplacez les noms d'utilisateur et mots de passe d'usine par des identifiants uniques et forts, et utilisez un gestionnaire de mots de passe pour les conserver.
  5. Désactivez l'accès à distance que vous n'utilisez pas. Désactivez l'administration à distance, la redirection de ports et l'UPnP sur le routeur, sauf si vous avez une raison précise de les conserver.
  6. Segmentez votre réseau. Placez les appareils intelligents, les caméras et les équipements sur un réseau invité ou séparé, à l'écart des ordinateurs portables et des fichiers professionnels. Si un appareil est compromis, les dommages restent contenus.
  7. Pour les petites entreprises, posez des questions directes aux fournisseurs. Si un fournisseur gère à distance votre réfrigération ou d'autres équipements, demandez comment l'accès est sécurisé, qui peut se connecter et si le matériel est encore pris en charge.

À retenir

La cyberattaque contre les congélateurs de supermarchés est un rappel frappant que les logiciels obsolètes ne restent pas un problème de back-office. Lorsque des systèmes anciens et non corrigés sont accessibles depuis Internet, une attaque peut se transformer en stocks fondus et en rayons vides. Les mêmes principes s'appliquent à la maison et dans un petit commerce : sachez ce qui est connecté, maintenez-le à jour, mettez hors service ce qui ne peut plus être corrigé et séparez les appareils à risque du reste de votre réseau. Réservez une heure cette semaine pour auditer votre routeur et vos appareils connectés. C'est une petite tâche comparée au coût de jeter un congélateur plein de nourriture, ou pire.