Attaques cybernétiques sur les systèmes de réfrigération européens précédées de jours de reconnaissance numérique

Une série coordonnée d'incidents cybernétiques a ciblé les systèmes de réfrigération connectés à Internet dans neuf pays européens et plusieurs banques de sang en France les 2 et 3 novembre, obligeant les épiceries à jeter la nourriture avariée. Selon les chercheurs en cybersécurité, la perturbation a été précédée de dix jours de reconnaissance numérique systématique ciblant des vulnérabilités spécifiques des équipements.

Les attaques ont compromis les gestionnaires de systèmes de réfrigération Danfoss AK-SM en exploitant des vulnérabilités non corrigées et des identifiants de connexion par défaut. Les températures internes de certaines installations affectées ont été ajustées à distance à 50 degrés Celsius, décongelant les congélateurs commerciaux. La société de cybersécurité Lupovis a signalé avoir observé 276 tentatives de sondage de la part de 91 acteurs de menaces distincts ciblant les contrôleurs Danfoss entre le 20 et le 30 octobre. Le directeur général de Lupovis, Xavier Bellekens, a déclaré que l'activité de reconnaissance avait atteint son pic le 26 octobre avant de se terminer au tournant du mois.

Lupovis a retracé l'activité préliminaire vers une infrastructure d'hébergement « bulletproof », que la firme avait déjà noté avoir été utilisée par des groupes cybernétiques russes. Bellekens a déclaré que le ciblage géographique était limité aux capteurs européens et a suggéré que le niveau de coordination indiquait une entité soutenue par un État. La position de Moscou n'est pas citée dans la source, et aucun groupe n'a revendiqué la responsabilité des perturbations. George Nott, rédacteur en chef de la section technologie chez The Grocer, a noté que les intrusions reposaient sur des omissions de sécurité élémentaires sur des pages de connexion Internet ouvertes plutôt que sur des techniques avancées, ajoutant que les motifs précis restent non confirmés.

Les autorités européennes ont divergé dans leur évaluation officielle des événements, les agences en Belgique, au Luxembourg, en Italie, au Portugal et en Estonie les classant comme des cyberattaques, tandis que la Suède et l'Irlande les ont désignés comme des incidents cybernétiques. Les experts du secteur ont souligné des risques systémiques plus larges à travers les infrastructures physiques connectées, y compris le chauffage, la ventilation, le contrôle d'accès et les équipements des installations médicales. Kumar Sokka, directeur général d'Acre Security, a déclaré que si la directive NIS2 de l'Union européenne exige une gestion des risques pour les réseaux numériques, de nombreuses organisations continuent de gérer les systèmes de contrôle physiques sous la maintenance des installations plutôt que sous des protocoles de sécurité critiques.

Les experts en cybersécurité avertissent que les outils automatisés et l'intelligence artificielle réduisent le temps nécessaire aux acteurs malveillants pour transformer les vulnérabilités logicielles en exploits fonctionnels. Gianni Cuozzo, directeur général de la firme de sécurité italienne Exein, a déclaré que se fier uniquement aux correctifs logiciels est insuffisant pour les contrôleurs à distance déployés à long terme sur le terrain. Il a noté que les appareils connectés nécessitent des capacités de défense d'exécution intégrées pour bloquer de manière autonome les comportements non autorisés, qu'un correctif de sécurité ait été émis ou non.

Écrit par Thomas Nussbaumer thomas.nussbaumer@alpineweekly.com