Après les frigos piratés en France, 800 autres attendent peut-être leur tour du côté britannique

Hier, je vous racontais comment des pirates informatiques avaient réussi à transformer les frigos et les congélateurs de centaines de supermarchés français en appareils de cuisson improvisés. Une histoire qui aurait pu prêter à sourire si elle n’avait pas provoqué des pertes alimentaires considérables et même des incendies dans certains magasins.

J’aurais aimé pouvoir refermer ce dossier et le mettre au congélo, aller chercher un yaourt et passer à autre chose. Malheureusement, la cybersécurité a parfois le sens de l’humour d’un contrôleur fiscal. À peine le premier épisode raconté, voilà qu’un nouveau problème apparaît de l’autre côté de la Manche. Et il ne concerne pas quelques appareils isolés.

Plus de 800 frigos britanniques visibles sur Internet

Selon une enquête publiée le 13 octobre par le média britannique The Grocer, plus de 800 systèmes de réfrigération utilisés par des distributeurs britanniques seraient directement accessibles depuis Internet. Des chercheurs de UK Cyber Defence ont découvert que les interfaces de connexion de ces équipements pouvaient être atteintes par des personnes extérieures, sans devoir nécessairement passer par le réseau privé censé les protéger.

Pour comprendre le problème, il faut savoir que les installations frigorifiques des supermarchés ne se résument pas à une collection de gros réfrigérateurs branchés sur une prise électrique. Des contrôleurs informatiques (des routeurs, des switchs) centralisent leur fonctionnement, surveillent les températures et permettent aux techniciens d’intervenir à distance.

C’est pratique. Un technicien peut diagnostiquer une panne sans traverser le pays pour constater qu’un congélateur a un comportement pour le moins étrange. Mais lorsque l’interface de gestion est exposée sur Internet, la porte d’entrée devient également accessible aux personnes qui n’ont absolument rien à faire dans la salle des machines.

Et, comme nous venons de le découvrir en France, prendre le contrôle de ces équipements peut avoir des conséquences autrement plus sérieuses que changer le fond d’écran du PC du patron quand il a oublié de locker sa session Windows. On n’oublie pas ce geste simple, merci…

Le problème, c’est que le frigo ne sait pas reconnaître un pirate

L’incident français a mis en lumière les faiblesses de certains systèmes de régulation frigorifique commercialisés par le fabricant danois Danfoss. Des pirates ont exploité des équipements utilisant des logiciels obsolètes pour modifier le fonctionnement des installations et déclencher des cycles de dégivrage.

Résultat : les températures ont grimpé dans les rayons frais et surgelés, obligeant les magasins touchés à jeter des quantités importantes de marchandises. Dans certains cas, les températures auraient atteint 50 °C. Un exploit remarquable pour un appareil dont la principale mission consiste normalement à empêcher votre Magnum Pistache/Mangue de ressembler à un gaspacho dégoulinant.

Le problème britannique est toutefois différent : la présence d’interfaces accessibles depuis Internet ne prouve pas que ces équipements ont été compromis. Elle indique que leur exposition constitue un risque qui mérite d’être examiné, particulièrement à la lumière de l’attaque française.

Il serait donc prématuré d’affirmer que 800 supermarchés britanniques sont piratés ou que leurs congélateurs vont prochainement se transformer en radiateurs. En revanche, découvrir autant de systèmes potentiellement accessibles après un incident de cette nature devrait inciter leurs exploitants à vérifier sérieusement leur configuration.

Le rayon surgelés, nouvelle infrastructure critique

Ce qui rend cette affaire intéressante dépasse largement les problèmes de température dans les supermarchés. Nous avons progressivement connecté à Internet des équipements qui, autrefois, fonctionnaient tranquillement dans leur coin : systèmes de chauffage, caméras de surveillance, alarmes, installations industrielles et, désormais, régulation frigorifique. Dans mon cas personnel, ma machine à laver est même connectée, et ça n’était même pas une option. Pareil pour mon robot-tondeuse qui sert parfois de compagnie à Thelma, mon bouledogue français surnommé “La bûche”.

Cette connectivité apporte de réels avantages. Elle permet de surveiller les installations, d’anticiper les pannes et de réduire les interventions techniques. Mais elle augmente aussi la surface d’attaque lorsque les équipements sont mal configurés, insuffisamment protégés ou laissés avec des logiciels dépassés.

Les mesures de protection ne sont pourtant pas révolutionnaires. Il faut notamment limiter les accès aux seules personnes autorisées, éviter d’exposer directement les interfaces d’administration sur Internet, utiliser des connexions sécurisées et maintenir les équipements à jour lorsque des correctifs existent.

Bref, des principes de cybersécurité que l’on connaît depuis longtemps. Le problème, c’est qu’un contrôleur installé dans une salle frigorifique n’attire pas forcément autant l’attention qu’un serveur informatique contenant les données de milliers de clients. Jusqu’au jour où quelqu’un décide de jouer avec le thermostat.

Et maintenant, qui surveille les frigos ?

L’attaque française n’a pas seulement démontré qu’un équipement industriel connecté pouvait être détourné à des fins malveillantes. Elle a aussi montré qu’une vulnérabilité informatique pouvait rapidement devenir un problème économique et matériel bien réel.

Les chercheurs ont identifié des milliers d’interfaces Danfoss accessibles depuis Internet à l’échelle mondiale, sans que cela signifie pour autant que tous ces équipements sont vulnérables ou compromis. De leur côté, les systèmes britanniques signalés par UK Cyber Defence constituent un nouveau motif de vigilance.

La bonne nouvelle, c’est qu’une interface accessible ne signifie pas automatiquement qu’un pirate peut prendre le contrôle de l’appareil. La mauvaise, c’est qu’il vaut mieux vérifier la serrure avant de découvrir que quelqu’un possède déjà les clés.

Hier, nous parlions de frigos piratés en France. Aujourd’hui, nous découvrons que des centaines d’autres systèmes frigorifiques britanniques présentent une exposition potentiellement risquée.

Demain, on découvrira peut-être que les grille-pain sont recrutés par un groupe de hackers pour organiser un coup d’État contre les machines à café.

À ce stade, je ne serais même plus surpris.

Sources