Ce qui s'est passé

Des attaquants ont pris le contrôle à distance des systèmes de réfrigération de centaines de supermarchés et de commerces indépendants français aux premières heures du lundi 12 octobre. Les températures ont atteint 50 degrés Celsius pendant environ six heures et les magasins ont jeté des produits frais et surgelés. Intermarché a déclaré des pertes de plusieurs dizaines de millions d'euros en une seule journée. Une source évoque environ 150 magasins Intermarché touchés, tandis que le Groupement Mousquetaires indique que 300 de ses magasins Intermarché et Netto ont été visés, sans que les deux chiffres aient été conciliés. Carrefour a signalé 80 supermarchés touchés et Coopérative U a indiqué que 80 de ses 2 000 magasins avaient été affectés. Des incendies se sont déclarés dans certains magasins et deux commerces de Haguenau, en Alsace, ont déclaré des pertes d'environ 270 000 euros.

La réponse officielle

L'agence française de cybersécurité a indiqué tard mardi 13 octobre que les attaques étaient « probablement toujours en cours ». Elle a conseillé aux magasins de ne reconnecter les réfrigérateurs à internet que via un VPN sécurisé ou un réseau protégé, d'installer les mises à jour de micrologiciel et de changer les mots de passe. Le ministre de l'Économie Roland Lescure a déclaré mardi devant le Parlement qu'environ 700 des 10 000 supermarchés du pays étaient touchés, ajoutant que l'attaque ne présentait aucun risque pour l'approvisionnement alimentaire en France. Le Premier ministre Sébastien Lecornu a demandé à l'agence d'enquêter. Le parquet de Paris a indiqué que son unité de lutte contre la cybercriminalité examinait les dommages liés aux denrées avariées et aux incendies signalés, et Europol a déclaré être en contact avec les pays touchés sans donner de détails.

La chaîne néerlandaise

Ahold Delhaize, la maison mère du groupe de supermarchés néerlandais, a coupé certains systèmes par précaution et a qualifié l'événement d'« incident de cybersécurité ». L'arrêt a interrompu les livraisons à domicile et perturbé certains approvisionnements, et mardi ses sites pour Albert Heijn, Delhaize, Stop & Shop, Food Lion et Giant restaient hors ligne tandis que ses magasins demeuraient ouverts. L'entreprise a déclaré ne disposer d'aucune preuve de vol de données de clients ou de salariés. Mercredi 14 octobre, elle redémarrait les systèmes qu'elle avait coupés. Le Centre national de cybersécurité néerlandais a observé plusieurs incidents dans le secteur alimentaire européen mais n'a « aucune raison, à ce stade » de les relier entre eux.

Comment les systèmes étaient exposés

Claroty, une société de sécurité israélo-américaine, a rapporté en août que 2 765 interfaces de contrôleurs Danfoss AK-SM 800A étaient accessibles depuis internet, et Danfoss avait déjà publié des correctifs. Le fabricant danois a indiqué que les équipements compromis étaient soit obsolètes, soit non mis à jour. Claroty a déclaré à La Tribune que ses chercheurs avaient reproduit l'attaque en laboratoire en 28 minutes, à l'aide de Claude d'Anthropic sur un produit Danfoss. L'expert espagnol en sécurité Iván Pérez, interrogé par AS, a indiqué que certains systèmes semblaient utiliser l'identifiant « admin » avec la date du jour comme mot de passe, sans qu'il soit confirmé que les attaquants aient emprunté cette voie. Le bulletin du CERT-FR cite les contrôleurs Danfoss AK-SM et AK-SC ainsi que les systèmes Copeland xweb et Dixell xweb parmi ceux qui ont été compromis.

Qui pourrait être à l'origine

François Deruty, ancien directeur des opérations de l'agence française de cybersécurité, a déclaré à l'AP que les responsables pouvaient aller d'acteurs étatiques à un étudiant français mécontent. Aucun auteur n'a été identifié publiquement et personne n'a revendiqué l'attaque. Marco Fanuli, directeur technique de TrendAI, une division de Trend Micro, a déclaré à Adnkronos que le nombre croissant d'équipements connectés élargit la surface d'attaque.

« De plus en plus d'appareils, d'installations et de machines sont connectés pour des raisons d'efficacité, de surveillance et de maintenance à distance. »

Fanuli a ajouté que ces systèmes sont souvent exploités par des fournisseurs tiers et ont été conçus à une époque où la sécurité n'était pas une priorité, ce qui rend une interruption à l'impact immédiat attrayante pour les attaquants. Nombre des adresses internet utilisées pour atteindre ces systèmes de contrôle restent accessibles.