Des centaines de supermarch\u00e9s fran\u00e7ais ont vu leurs rayons froids d\u00e9railler en quelques heures. Selon les autorit\u00e9s fran\u00e7aises, environ 700 magasins ont \u00e9t\u00e9 touch\u00e9s par une attaque informatique visant les syst\u00e8mes de r\u00e9frig\u00e9ration : des chambres froides et cong\u00e9lateurs ont cess\u00e9 de fonctionner normalement, des tonnes de denr\u00e9es p\u00e9rissables ont \u00e9t\u00e9 perdues et, dans certains cas, des incendies se sont d\u00e9clar\u00e9s.<\/p>\n
Les pirates, rest\u00e9s inconnus, se sont attaqu\u00e9s aux contr\u00f4leurs reli\u00e9s \u00e0 Internet qui permettent aux techniciens de piloter \u00e0 distance l’ensemble des appareils frigorifiques d’un magasin. Une fois ces bo\u00eetiers compromis, ils ont activ\u00e9 les syst\u00e8mes de d\u00e9givrage assez longtemps pour que la temp\u00e9rature grimpe jusqu’\u00e0 50 \u00b0C. Le temps que l’intrusion soit rep\u00e9r\u00e9e, les aliments \u00e9taient avari\u00e9s et certaines installations \u00e9lectriques avaient pris feu.<\/p>\n
Le plus troublant est que cette attaque n’avait rien d’in\u00e9vitable. Les trois mod\u00e8les de contr\u00f4leurs concern\u00e9s, fabriqu\u00e9s par Danfoss (Danemark) ainsi que par Dixell et sa maison m\u00e8re Copeland (\u00c9tats-Unis), ont fait l’objet d’avis de s\u00e9curit\u00e9 et de rapports de chercheurs signalant des failles critiques. Elles permettent de se connecter \u00e0 distance avec des droits d’administrateur.<\/p>\n
Dans le cas de Danfoss, les anciens bo\u00eetiers utilisaient un mot de passe qui change chaque jour, mais qui est calcul\u00e9 \u00e0 partir de la date par un micrologiciel accessible publiquement. Un attaquant qui prend le temps d’analyser ce code peut donc retrouver le mot de passe du jour sur n’importe quel appareil non mis \u00e0 jour, et ce mot de passe est le m\u00eame dans des centaines, voire des milliers de magasins. Plusieurs failles du m\u00eame ordre ont aussi \u00e9t\u00e9 corrig\u00e9es ces derniers mois sur les contr\u00f4leurs Copeland et Dixell.<\/p>\n
Cet \u00e9pisode rappelle que les \u00e9quipements industriels branch\u00e9s au r\u00e9seau, souvent install\u00e9s puis oubli\u00e9s, sont des cibles de choix. Des correctifs existent, mais encore faut-il qu’ils soient appliqu\u00e9s, et que ces bo\u00eetiers d’administration ne soient pas directement expos\u00e9s sur Internet. Pour les enseignes, la facture se compte en millions d’euros entre marchandises d\u00e9truites, fermetures temporaires et r\u00e9parations.<\/p>\n
<\/p>\n