Frigos à 50 °C chez Intermarché et Carrefour, 4 500 automates Danfoss restent exposés

Des pirates ont pris à distance le contrôle des réfrigérateurs et des congélateurs d’au moins 350 supermarchés français pendant la nuit, les ont basculés en mode dégivrage et les ont laissés monter jusqu’à 50 °C (122 °F). Chez Intermarché, les frigos d’environ 150 magasins sont restés à cette température pendant six heures, et tous les produits qu’ils contenaient ont été jetés. L’accès s’est fait par le boîtier qui pilote l’ensemble des rayons réfrigérés d’un magasin : un contrôleur Danfoss que les installateurs frigoristes gèrent à distance, par internet.

Pour les clients, cela s’est traduit par des rayons surgelés fermés et par des employés, dans le centre de Paris, qui vidaient des chariots entiers de viande décongelée et de glaces fondues dans d’immenses conteneurs à ordures. Pour les autres, le problème dépasse largement les frontières françaises. En utilisant le moteur de recherche Shodan, Reuters a repéré au moins 4 500 interfaces Danfoss toujours accessibles en ligne après l’attaque. La société française spécialisée dans le scan de réseaux Onyphe a indiqué que seule une petite minorité semblait utiliser la version la plus récente des logiciels.

Carrefour a recensé 80 supermarchés touchés, et Monoprix environ 5 % de ses quelque 490 magasins français. Coopérative U a également été visée, mais son directeur général, Dominique Schelcher, a expliqué que la chaîne du froid avait été préservée dans la plupart des magasins concernés, grâce à la réaction rapide des employés et des prestataires. E.Leclerc a déclaré qu’un de ses fournisseurs de systèmes frigorifiques avait été attaqué. Le parquet de Paris a fait état de pertes de denrées alimentaires et d’équipements qui ont commencé à prendre feu. Thierry Cotillard, président du groupement Les Mousquetaires, maison mère d’Intermarché, a déclaré à BFMTV que les dégâts se chiffreraient à « des dizaines de millions d’euros à l’échelle nationale en une seule journée ».

Lecture recommandéeDissimuler un piratage vient de devenir illégal en Europe — les fabricants ont 24 heures pour signaler

Danfoss affirme que nombre des appareils visés étaient « en fin de vie et ne recevaient plus de mises à jour logicielles ou de sécurité », tandis que d’autres « fonctionnaient avec un micrologiciel obsolète ». L’entreprise a cité deux anciens modèles, l’AK-SM 800 et l’AK-SC 355, tous deux retirés du marché depuis plusieurs années. Certains contrôleurs AK-SM 800A actuels, équipés d’un ancien micrologiciel, ont également été touchés. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a aussi cité des logiciels de Copeland et de sa marque Dixell parmi les systèmes concernés. Copeland a reconnu l’existence de la « vulnérabilité » et déclaré : « Nous travaillons actuellement avec les clients concernés pour atténuer le risque. »

Si les systèmes frigorifiques des supermarchés sont connectés à internet, c’est pour une raison toute simple : un prestataire peut régler les températures, désactiver les alarmes et modifier les cycles de dégivrage sans se déplacer en magasin. CERT-FR, l’équipe gouvernementale de réponse aux urgences informatiques, a demandé à tous les exploitants de contrôleurs Danfoss AK-SM et AK-SC de les déconnecter ou de filtrer strictement les accès. Selon l’AFP, Vincent Strubel, directeur de l’ANSSI, a qualifié cette mesure d’urgente.

Pour l’heure, personne ne peut dire comment les pirates ont réussi à entrer ni pourquoi ils ont agi. Aucun groupe n’a revendiqué l’attaque et aucune rançon n’a été demandée, ce qui laisse les enquêteurs perplexes, selon une source citée par Reuters. CERT-FR n’a indiqué ni vulnérabilité, ni version de micrologiciel, ni signe de compromission que les exploitants pourraient vérifier. Les failles documentées par la société de cybersécurité Claroty dans l’AK-SM 800A n’ont pas été associées à l’attaque. Les propriétaires des modèles les plus anciens n’ont aucun correctif à installer : la véritable solution consiste à remplacer le matériel, en passant par les mêmes prestataires que ceux qui avaient installé les anciens boîtiers. « Il s’agit de règles élémentaires d’hygiène informatique », a déclaré Ken Munro, de Pen Test Partners. « Si on les néglige, on se retrouve avec un tas malodorant d’aliments décongelés. » Il a ajouté que les pirates n’avaient eu qu’à pousser une porte déjà ouverte et que les coupables pouvaient très bien être « des gamins qui s’amusent ».

La France n’est peut-être pas la seule concernée. Félix Aimé, analyste en renseignement sur les menaces chez Sekoia, a indiqué à Reuters que l’Espagne, le Portugal, la Pologne, l’Allemagne et la Belgique avaient également été touchés, sans fournir de précisions. L’ANSSI est en contact avec des agences d’autres pays européens. Un incident distinct a mis hors ligne, au même moment, les services d’épicerie en ligne du distributeur néerlandais Ahold Delhaize, mais le centre néerlandais de cybersécurité NCSC n’y voit aucun lien. Il existe des précédents : les frigos d’une douzaine de magasins destinés aux militaires américains ont été perturbés de façon similaire à la fin du mois d’août, et la lettre d’information de Danfoss destinée à ses clients fait état d’attaques contre 16 supermarchés russes et 40 magasins israéliens en 2022.

L’attaque a commencé dans la nuit du dimanche 11 octobre, et CERT-FR a publié son alerte le lendemain. Danfoss a déclaré l’AK-SM 800 en fin de vie en mai 2021 et a progressivement retiré l’AK-SC 355 du marché en 2016. Claroty a publié ses recherches sur le modèle plus récent le 9 août. La section cybercriminalité du parquet de Paris a ouvert une enquête, confiée à l’Office anti-cybercriminalité (OFAC), afin de recenser les victimes et de relier chaque perte à l’attaque. La fédération française du commerce et de la distribution (FCD) a demandé à Danfoss de faire preuve d’une « transparence totale ». En attendant que les enquêteurs découvrent le mode opératoire, la mesure la moins coûteuse de la liste de CERT-FR ne nécessite aucun correctif : déconnecter le contrôleur d’internet.

Étiquettes: Pelé, Cher, sécurité IoT, cyberattaque, ANSSI, Carrefour

Dans le même genre

68 000 clients exposés chez Shinhan et six prêteurs coréens, un outil d’IA en cause

Le Danemark pourrait geler les nouveaux data centers car le réseau ne suit plus la demande IA

Apple n’a plus de recours légaux en Europe — les trois contestations du DMA rejetées

Google suspend sa prime aux failles open source, noyée sous les faux rapports d’IA

Après 1,6 million de pièces d’identité exposées, le Japon veut que les banques lisent la puce

Un jeune pouvait modifier les notes de n’importe quel élève sur le portail d’examens indien