Chaînes du froid et congélateurs en feu

La semaine dernière, des centaines de congélateurs de supermarchés à travers la France ont reçu à distance l’instruction d’atteindre une température de 50 °C. Lorsque les directeurs de magasins Carrefour, Intermarché et E.Leclerc sont arrivés sur place, les produits frais étaient gâchés, les stocks surgelés avaient fondu et plusieurs sites faisaient face à des départs d’incendie localisés.

Ces perturbations ne résultent pas d’une panne technique, mais d’une attaque coordonnée ciblant le contrôle centralisé de la température dans de nombreuses enseignes de la grande distribution. Le fond du problème ne réside pas seulement dans les marchandises détruites ou le déclenchement d’arrêts d’urgence : il s’agit d’un déséquilibre structurel entre la gestion dans le cloud et les équipements physiques.

Le piège de la dépendance aux systèmes obsolètes

D’après Danfoss, la société d’ingénierie qui fournit le logiciel de gestion de température à distance visé par l’intrusion, les unités de réfrigération touchées étaient des modèles anciens arrivés en fin de vie et dont le microprogramme (firmware) n’était plus maintenu.

Cela met en lumière l’un des goulets d’étranglement les plus persitants des architectures de défense modernes : le décalage entre le cycle de vie des logiciels et celui des matériels physiques. Tandis que les équipes informatiques d’entreprise appliquent des correctifs sur les systèmes d’exploitation et les applications à un rythme hebdomadaire ou mensuel, les technologies opérationnelles (OT) — comme les groupes refroidisseurs industriels, les systèmes CVC (chauffage, ventilation et climatisation) et la gestion technique des bâtiments — sont conçues pour durer 15 à 25 ans.

Les équipes de sécurité se retrouvent fréquemment piégées par ces dépendances. Il est impossible d’appliquer un correctif sur des contrôleurs propriétaires sans le support du fournisseur ; de l’autre côté, le remplacement complet d’infrastructures de refroidissement sur des centaines de sites commerciaux exige des investissements massifs. Il en résulte une surface d’attaque grandissante, où des appareils obsolètes restent exposés en permanence sur des réseaux partagés.

Le danger de la gestion centralisée à distance

Les premiers éléments de l’enquête pointent vers la régulation de la température à distance, une fonctionnalité initialement conçue pour optimiser l’efficacité énergétique et permettre un suivi centralisé des cycles de dégivrage et des plannings de refroidissement.

Si les plateformes de gestion centralisée apportent une efficacité opérationnelle incontestable, elles créent également des points de défaillance uniques et critiques :

• Un effet de levier massif : compromettre une seule plateforme de gestion donne immédiatement aux attaquants le contrôle simultané de milliers d’équipements distants.
• Le détournement de la logique opérationnelle : les procédures de dégivrage augmentent régulièrement et légèrement la température pour la maintenance planifiée. Les attaquants ont détourné cette logique en ordonnant aux unités de chauffer et de maintenir cette chaleur, transformant un processus de maintenance de routine en un événement destructeur.
• L’absence de détection humaine en dehors des heures d’ouverture : l’attaque ayant eu lieu pendant la nuit, en l’absence de personnel dans les magasins, les équipes opérationnelles n’ont pu détecter l’intrusion qu’au matin, lorsque les responsables se sont retrouvés face à des vagues d’air chaud et des stocks entièrement liquéfiés.

La résilience opérationnelle avant la simplicité d’usage

Face à l’attaque, des groupes de distribution tels qu’Intermarché et Netto ont déconnecté environ 100 magasins d’Internet afin d’éviter la propagation latérale de la menace. Cette réponse d’urgence rappelle un principe fondamental de la résilience industrielle : lorsque l’intégrité logicielle fait défaut, l’isolation physique demeure la seule solution fiable.

Alors que la section cybersécurité du parquet de Paris a ouvert une enquête spécialisée et que le Premier ministre Sébastien Lecornu a chargé l’Agence nationale de la sécurité des systèmes d’information (ANSSI) de piloter l’expertise technique, cet incident a pris la dimension d’un enjeu de résilience nationale.

Les organisations qui gèrent des systèmes physiques connectés à Internet doivent traiter la sécurité OT avec la même rigueur que celle appliquée aux environnements informatiques décisionnels :

• Une segmentation réseau stricte : les systèmes de contrôle industriel, l’automatisation du bâtiment et les contrôleurs de réfrigération ne doivent jamais partager de réseaux routables avec l’informatique d’entreprise ou les terminaux de point de vente connectés à Internet. L’isolation des segments critiques est indispensable pour limiter les déplacements latéraux.
• Des garde-fous physiques (matériels) : les contrôles logiciels doivent être doublés de disjoncteurs au niveau matériel. Un contrôleur numérique ne devrait jamais disposer de l’autorité administrative nécessaire pour chauffer un congélateur commercial jusqu’à 50 °C, quelles que soient les instructions reçues à distance.
• Une surveillance environnementale indépendante : les systèmes de suivi environnemental doivent alerter directement les équipes d’astreinte dès que des variables physiques franchissent des seuils extrêmes en dehors des heures de bureau, en contournant les tableaux de bord centralisés susceptibles d’être manipulés par un attaquant.

Comme l’a souligné le commissaire européen à l’Alimentation Christophe Hansen à la suite de cet événement, le détournement à des fins malveillantes de chaînes d’approvisionnement alimentaires essentielles n’est plus un risque théorique. La transformation numérique a relié le réfrigérateur commercial au réseau Internet mondial ; préserver cette infrastructure exige de reconnaître que la facilité d’exploitation ne doit jamais prévaloir sur l’architecture de défense.

Chez Airbus Protect, nos services de conseil et de sécurité gérée aident les organisations à travers l’Europe à surmonter les contraintes liées aux matériels obsolètes, à appliquer des architectures de sécurité rigoureuses et à réagir rapidement aux intrusions dans le monde physique. Que ce soit par une conception globale de la sécurité, des audits d’équipements existants, des interventions spécialisées sur incident ou l’évaluation de votre maturité en matière de résilience, nous veillons à ce que vos systèmes opérationnels soient conçus pour résister aux menaces sans compromettre la sécurité ni la fiabilité.