Une cyberattaque perturbe la réfrigération des supermarchés

Une cyberattaque menée à la mi-octobre a visé les systèmes de réfrigération de supermarchés, les obligeant à jeter l'ensemble de leurs produits surgelés. Cet incident a mis en lumière la manière dont les cybermenaces peuvent avoir un impact sur le monde physique.

Une enquête ouverte après l'attaque

La section cybercriminalité du parquet de Paris s'est saisie de l'affaire le 12 octobre, à la suite de l'attaque survenue dans la nuit du 11 au 12 octobre. Des centaines de magasins ont été touchés, entraînant des pertes importantes.

Des questions juridiques sur la responsabilité

Au-delà des aspects techniques de l'attaque, la question de l'indemnisation reste sans réponse. Si les auteurs de l'attaque sont clairement responsables, les victimes pourraient également porter une part de responsabilité si elles n'ont pas suffisamment sécurisé leurs systèmes.

Le besoin d'un contrôle technique cyber

L'idée d'un « contrôle technique cyber » est envisagée pour renforcer la cybersécurité. Il s'agirait de vérifier la sécurité des entreprises avant que les incidents ne surviennent, un peu à la manière du contrôle technique des véhicules avant leur mise en circulation.

Aucun contrôle cyber officiel pour le moment

À l'heure actuelle, il n'existe pas de « contrôle technique » officiel dans le domaine de la cybersécurité. Les entreprises doivent respecter des obligations générales, comme celles prévues par le Règlement général sur la protection des données (RGPD), mais aucune liste de contrôle spécifique n'existe pour vérifier leur conformité.

Les cyberattaques ont des conséquences tangibles

Les risques liés aux cyberattaques ne se limitent pas aux dommages numériques. Dans le cas des supermarchés, l'attaque a entraîné la destruction de marchandises, la fermeture de magasins et des risques potentiels pour la santé et l'environnement. Des incidents similaires se sont produits dans d'autres secteurs, comme celui des réseaux de purification de l'eau aux États-Unis.

Des failles de sécurité courantes sont souvent négligées

De nombreuses cyberattaques exploitent des failles de sécurité élémentaires et bien connues. Par exemple, une enquête sur un cambriolage au Louvre a révélé que des serveurs critiques étaient protégés par le mot de passe « LOUVRE », qui pouvait être craqué rapidement. Cela met en évidence la négligence généralisée des pratiques de sécurité de base.

Les systèmes de réfrigération étaient vulnérables

Les experts estiment que la cyberattaque contre la réfrigération n'était pas particulièrement complexe et qu'elle résulte probablement d'une mise à jour logicielle oubliée. Ces systèmes sont connectés à Internet pour un contrôle à distance, ce qui les rend vulnérables si les mises à jour ne sont pas appliquées.

La négligence peut compromettre l'indemnisation par les assurances

Les entreprises qui ne prennent pas les précautions de sécurité élémentaires risquent de voir leurs demandes d'indemnisation refusées après une cyberattaque. Les assureurs peuvent faire valoir que la négligence de l'entreprise a contribué aux dommages, ce qui réduit la responsabilité de l'attaquant.

Les victimes ne sont pas toujours irréprochables

Si l'attaquant est clairement fautif, l'entreprise attaquée peut également être tenue responsable de ne pas avoir sécurisé ses systèmes. Les principes juridiques suggèrent que la négligence peut être considérée comme une faute, même lorsque l'entreprise est victime.

La force majeure n'est pas une défense valable

Dans une décision rendue en 2020, la cour d'appel de Paris a rejeté l'argument de la « force majeure » pour une attaque par rançongiciel. Une cyberattaque ne remplit pas les critères juridiques d'un événement extérieur, imprévisible et irrésistible.

Les entreprises font face à une incertitude juridique

Le nombre croissant de textes réglementaires rend difficile pour les entreprises la connaissance de leurs obligations. La directive européenne NIS 2, qui vise à améliorer la cybersécurité, a pris du retard dans sa mise en œuvre en France.

Les pouvoirs publics pourraient introduire des contrôles

Pour remédier à cette incertitude, les pouvoirs publics envisagent des contrôles obligatoires et périodiques de la sécurité des systèmes d'information. Cela permettrait de clarifier les obligations et les limites de la responsabilité des entreprises.

Le cyberscore, une solution potentielle

Un « cyberscore » est proposé : les grandes plateformes numériques feraient auditer leur sécurité et les résultats seraient rendus publics. Ce dispositif s'inspire du Nutri-Score et vise à accroître la transparence et la responsabilité.