Cyberattaque contre les systèmes de réfrigération de supermarchés français

Une cyberattaque visant les systèmes de réfrigération de plusieurs grandes enseignes de supermarchés françaises, dont Leclerc, Intermarché, Carrefour, Super U et Monoprix, a eu lieu dans la nuit du dimanche 11 au lundi 12 octobre, provoquant d'importantes perturbations et du gaspillage alimentaire.

Plusieurs magasins touchés dans plusieurs enseignes

Au moins 300 magasins Intermarché/Netto, moins de 100 magasins du réseau Coopérative U, plusieurs magasins du groupe E.Leclerc, 80 supermarchés Carrefour et une trentaine de magasins Monoprix ont été touchés, selon les informations rapportées.

Enquête ouverte par le parquet de Paris

Le parquet de Paris a annoncé l'ouverture d'une enquête indépendante sur cet incident, confiée à la section de lutte contre la cybercriminalité et à l'Office anti-cybercriminalité (OFAC), afin d'identifier les victimes et d'évaluer les dommages liés aux pertes alimentaires et aux équipements qui ont commencé à prendre feu.

Anciens systèmes Danfoss visés

Les systèmes de régulation de la réfrigération du fabricant danois Danfoss ont été ciblés. Danfoss a indiqué que la majorité des unités touchées étaient d'anciens produits arrivés en fin de vie, qui ne recevaient plus de mises à jour logicielles ni de correctifs de sécurité.

Recommandations pour la mise à jour des systèmes

L'entreprise a souligné qu'elle recommandait depuis longtemps à ses clients de maintenir leurs systèmes pris en charge à jour et de migrer les systèmes anciens vers des solutions actuelles. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a insisté sur la nécessité de déconnecter ces systèmes d'internet ou d'adopter une politique de filtrage réseau très restrictive.

Des hackers ont porté les températures à 50 degrés

Selon Thierry Cotillard, directeur général de Mousquetaires/Intermarché, les pirates ont dégivré à distance les unités de froid, portant leur température à 50 degrés Celsius. Il a fallu jeter les produits concernés pour maintenir la chaîne du froid, avec un coût national estimé à plusieurs dizaines de millions d'euros.

Des dommages variables selon la taille des magasins

Dominique Schelcher, président-directeur général de la Coopérative U, a indiqué que seuls environ 80 des 2 000 magasins placés sous sa responsabilité avaient été touchés, avec des dommages allant de quelques dizaines de milliers d'euros dans les petites surfaces à près de 200 000 euros dans les hypermarchés. Il a reconnu le caractère « totalement inédit, inattendu et grave » de l'attaque, mais a souligné qu'une minorité des magasins touchés avait dû jeter des marchandises.

Des équipements industriels conçus sans cybersécurité

L'attaque a mis en lumière les failles des équipements industriels désormais reliés à des capteurs ou à des systèmes de supervision à distance, qui ont historiquement été conçus pour la fiabilité et la maîtrise des coûts plutôt que pour la cybersécurité. Danfoss avait signalé plusieurs vulnérabilités graves dans les logiciels utilisés dans ses systèmes de réfrigération, dont une faille permettant aux attaquants d'accéder en lecture et en écriture aux valeurs internes et d'exécuter des programmes informatiques non sécurisés.

La cybersécurité négligée dans les entreprises

Le général André Petillot de la gendarmerie a souligné que la cybersécurité avait été sous-estimée dans le monde des affaires et dans les administrations.

Le gouvernement se mobilise

L'entourage du Premier ministre a confirmé que Sébastien Lecornu avait immédiatement demandé à l'ANSSI de prendre en charge le dossier et suit personnellement l'affaire. L'ANSSI a confirmé sa mobilisation aux niveaux français et européen afin d'accompagner les victimes et de se coordonner avec ses homologues.

L'industrie appelle à la transparence et à l'action

La Fédération du commerce et de la distribution (FCD) a appelé Danfoss et ses clients fabricants de systèmes de réfrigération à faire pleinement preuve de transparence et à mettre en œuvre sans délai les mesures nécessaires.