Le prix fort des thermostats non patchés

Le commerce de détail européen moderne a passé des années à vanter les mérites des infrastructures connectées à Internet, mais il semble que peu d'entre eux aient pris la peine d'installer les correctifs logiciels de base. Les chaînes de supermarchés en Suède, en Belgique et au Luxembourg ont récemment découvert que la centralisation du contrôle de la conservation des aliments entraîne des vulnérabilités prévisibles lorsque l'entretien courant est négligé.

La dernière perturbation a vu les températures augmenter dans les réfrigérateurs et congélateurs de dizaines de points de vente au détail pendant la nuit. En Suède, six magasins de la chaîne Coop ont été touchés, ainsi qu'un nombre limité de points de vente exploités par ICA. Ahold Delhaize, le géant néerlandais de la distribution qui avait précédemment signalé un incident de cybersécurité à la police des Pays-Bas, a reconnu qu'un incident informatique avait frappé les systèmes de refroidissement de son réseau belge et luxembourgeois. La perturbation a atteint profondément les points d'approvisionnement locaux, touchant cinq magasins Spar, des minimarchés Proxy Delhaize et plusieurs magasins de proximité Shop & Go situés dans des stations-service Q8. Les techniciens du spécialiste de la réfrigération Sabcobel ont passé les premières heures du matin à déconnecter physiquement les installations compromises du réseau électrique.

Cet incident fait suite à une perturbation bien plus importante en France, où des hackers ont piraté les unités de refroidissement de jusqu'à 700 supermarchés. Des chaînes telles que Carrefour, Leclerc, Intermarché, Monoprix et Coopérative U ont subi des pertes considérables après que les auteurs ont modifié à distance les réglages de contrôle, faisant passer les températures des armoires de moins 27 degrés Celsius à plus de 50 degrés.

Les dommages économiques résultant de ces défaillances opérationnelles s'accumulent rapidement. Les détaillants français ont été contraints de jeter de vastes quantités de viande fraîche, de produits laitiers et de stocks congelés, les pertes par magasin dépassant fréquemment 130 000 euros. En Alsace, deux succursales touchées ont enregistré à elles seules des dommages combinés de 270 000 euros. Les enquêtes formelles ouvertes par le parquet de Paris ont noté que les attaques avaient causé à la fois la destruction de nourriture et des incendies, incitant le Premier ministre Sébastien Lecornu à déployer l'agence nationale de cybersécurité ANSSI.

La cause profonde de la défaillance du système réside dans les contrôleurs connectés fabriqués par la société danoise Danfoss, ainsi que dans le matériel de deux fournisseurs supplémentaires identifiés par l'ANSSI. Danfoss avait découvert des failles de sécurité dans ses appareils l'année dernière et avait explicitement conseillé à ses clients d'exécuter les mises à jour nécessaires. Le fait que les réseaux de supermarchés européens aient ignoré ces avertissements jusqu'à ce que leurs congélateurs commencent à cuire activement leurs propres stocks démontre un schéma familier d'inertie administrative d'entreprise.

Écrit par Thorben Thiede

thorben.thiede@alpineweekly.com