Actualités cyber
Quand les congélateurs obéissent aux pirates
En octobre, des réglages de dégivrage sabotés ont détruit des stocks et provoqué des départs de feu. En novembre, trois sites de stockage de plasma ont évité les pertes. Que peut-on apprendre de ces deux épisodes ?
Un congélateur peut être saboté avec une fonction prévue par son fabricant. Le dégivrage sert à retirer le givre qui s’accumule sur l’équipement. En détournant ses réglages, on peut faire chauffer une installation chargée de conserver des aliments. Dans la nuit du 11 au 12 octobre 2026, c’est ce qui s’est passé en France. Le rapport d’enquête français recense au moins 15 départs de feu. Rapport du Centre de coordination des crises cyber (C4).
Ce que l’on sait au 10 novembre
- 11–12 octobre, France. Selon le ministère des Affaires étrangères, les contrôleurs ciblés étaient déployés dans plus de 700 sites de la grande distribution. Le ministère fait état de dégâts matériels et estime les pertes en denrées à plusieurs dizaines de millions d’euros. France Diplomatie.
- 1ᵉʳ–2 novembre, Europe. Une nouvelle vague touche des systèmes de réfrigération dans plusieurs États membres. Le 4 novembre, l’ENISA et ses partenaires appellent à réduire d’urgence l’exposition des équipements. Leur communiqué ne désigne aucun responsable. Communiqué européen.
- 5 novembre, alerte mondiale. La CISA, le FBI et trois autres agences américaines signalent des activités malveillantes visant les systèmes de réfrigération et de surveillance du froid à l’échelle mondiale. La santé, l’agroalimentaire et le transport frigorifique utilisent ces technologies. L’alerte ne fournit ni bilan mondial des victimes ni attribution commune. Avis conjoint américain.
- 9 novembre, attribution française. Paris attribue le sabotage des 11 et 12 octobre à l’Iran, via l’unité Shahid Kaveh, affiliée aux Gardiens de la révolution. Le C4 rapproche notamment l’infrastructure d’attaque d’activités de reconnaissance industrielle déjà associées à cette unité. Le rapport circonscrit cette attribution à l’opération d’octobre en France. Éléments d’attribution du C4.
Le rapport du C4 relève aussi que Shahid Kaveh avait revendiqué des sabotages visant notamment des équipements frigorifiques en Israël en mars et avril 2026. Cette revendication apporte un contexte international. Le dossier français d’octobre repose sur des éléments d’enquête distincts, et la vague européenne de novembre reste à examiner séparément. Rapport du C4 · Communiqué européen.
De l’interface web au rayon surgelé
Un frigoriste peut diagnostiquer une panne à distance avant qu’un magasin perde son stock. Le même superviseur peut aussi écrire les consignes de température et piloter le dégivrage de plusieurs équipements. Si son interface d’administration est accessible sur Internet, un attaquant peut la repérer et tenter d’atteindre ces fonctions. Le CERT-FR a relevé des compromissions touchant des équipements Danfoss AK-SM et AK-SC ainsi que Copeland et Dixell XWEB. Alerte du CERT-FR.
La porte d’entrée peut varier d’un site à l’autre. Sur le Danfoss AK-SM 800A, les chercheurs de Team82 ont démontré qu’un mécanisme d’accès caché permettait de contourner l’authentification et qu’une seconde faille pouvait ensuite permettre l’exécution de commandes. Danfoss a corrigé ces failles. La démonstration établit qu’un mot de passe robuste ne suffit pas face à ce contournement. Le rapport public du C4 décrit le repérage des cibles et la modification des réglages, sans détailler la méthode d’intrusion de chaque site. Recherche de Claroty Team82 · Rapport du C4.
6 695 → 3 124. Entre le 9 octobre et le 5 novembre, Censys a observé une baisse de 53 % du nombre d’hôtes accessibles sur Internet qu’il associait aux familles Danfoss StoreView et Copeland/Dixell XWEB. Ce relevé mesure ce qui était visible depuis Internet. Il ne permet pas de compter les magasins piratés ni de savoir pourquoi un hôte a disparu. Mesures de Censys.
Ce qui aurait pu interrompre l’attaque
| Moment | Protection | Effet attendu |
|---|---|---|
| Avant l’intrusion | Retirer les interfaces du Web public. Faire passer la maintenance par une passerelle à jour, avec des comptes nominatifs, une authentification multifacteur résistante à l’hameçonnage et des accès à durée limitée. | Coupe l’accès direct depuis Internet et limite l’usage d’identifiants volés. Un accès fournisseur déjà compromis reste un risque à traiter. |
| Après un premier accès | Isoler le réseau du froid du réseau bureautique et cloisonner les sites. Limiter les commandes d’écriture aux équipements et personnes autorisés. Corriger le micrologiciel et planifier le remplacement des appareils en fin de support. | Réduit le nombre d’installations qu’un compte ou un poste compromis peut atteindre. Un correctif ferme la faille qu’il vise. Le cloisonnement protège aussi pendant l’attente du correctif. |
| Après une commande malveillante | Faire valider par le frigoriste des limites locales de température et de dégivrage indépendantes du superviseur. Surveiller la température réelle avec une sonde et une voie d’alerte distinctes. | Une limite locale peut empêcher un réglage dangereux de prendre effet. L’alerte indépendante peut donner à l’astreinte le temps de sécuriser les stocks. |
Ces mesures répondent aux chemins d’attaque documentés et à leurs effets physiques. Leur efficacité dépend de la configuration réelle de chaque installation. Il faut notamment tester que le froid et les alertes fonctionnent encore en mode local avant de couper un accès distant. Mesures préconisées par les agences américaines · Guide du NIST sur la sécurité des systèmes industriels.
Le test à faire avec le prestataire. Demandez-lui de montrer, sur une installation de test, ce qu’un compte de maintenance peut modifier dans un magasin, puis dans le suivant. Un compte partagé à l’échelle du parc peut transformer un incident local en panne simultanée. Séparez la consultation des températures des droits d’écriture, exigez un journal des changements par site et vérifiez qu’un accès peut être révoqué sans interrompre la surveillance.
Trois sites de stockage de plasma, aucune perte annoncée
Le 2 novembre, des seuils de température et de dégivrage ont été modifiés sur trois sites de stockage de plasma de l’Établissement français du sang. Selon l’EFS, cité par l’Associated Press, la surveillance a détecté l’écart assez tôt pour que les équipes sécurisent ou transfèrent les produits. L’établissement n’a signalé aucune perte de produits sanguins. Le récit public ne précise pas l’architecture des alertes. Il montre le bénéfice opérationnel d’une détection suivie d’une intervention rapide. Déclaration de l’EFS rapportée par l’AP.
Une alarme classique attend que la température dépasse un seuil. Une alerte sur un changement de consigne peut partir avant même que la chambre froide se réchauffe. Et si la télémétrie s’interrompt, l’absence de nouvelles mesures doit elle aussi déclencher une alerte. C’est là qu’une sonde séparée et un canal d’alerte distinct ont le plus de valeur. Avis américain sur la perte de visibilité et les écarts de consigne.
Pour un exploitant, le test le plus parlant se joue de nuit. Simulez la perte de la supervision à distance et un écart de température, sans exposer de stock. Qui reçoit l’alerte, qui mesure la température sur place et où les lots peuvent-ils être transférés ? Exercez aussi la mise en quarantaine des lots, la conservation des courbes de température et des journaux, puis la restauration d’une configuration validée. L’équipe qualité décide du sort des produits à partir de leur historique thermique et de leurs exigences de conservation. La remise en route du contrôleur et la remise en vente des produits sont deux décisions distinctes.
À trois heures du matin, si l’écran de supervision cesse d’être fiable, quel autre signal réveillera la bonne personne ?
Créez un mot de passe fort et unique
Gratuit, instantané et généré sur votre appareil. Rien n’est envoyé nulle part.