Les congélateurs des supermarchés européens piratés à nouveau : des contrôleurs Danfoss réglés à 50 °C dans six pays

Aux premières heures du 2 novembre, les gérants de supermarchés de toute l'Europe ont été réveillés par la même alarme : leurs congélateurs chauffaient au lieu de refroidir. Vers 2 h 30 du matin, la gérante d'un Delhaize à Eeklo, en Belgique, a conduit jusqu'à son magasin dans le noir pour réinitialiser un système réglé à 50 °C. À Sjöbo, dans le sud de la Suède, le personnel d'un ICA Kvantum est arrivé pour trouver de l'air chaud soufflé dans les congélateurs, sans aucun moyen de l'arrêter ; le magasin est resté fermé lundi matin. Au lever du jour, la même histoire avait été signalée en Belgique, au Luxembourg, en Suède, en Irlande, en Estonie et aux Pays-Bas, et la Finlande enquêtait sur des pannes similaires. Ce n'était ni une coupure de courant ni un thermostat défectueux. C'était la deuxième vague de la même attaque en trois semaines, et l'avertissement qui aurait dû l'arrêter avait déjà été émis.

La première vague a frappé la France dans la nuit du 11 au 12 octobre, lorsque les attaquants ont pris le contrôle à distance de la réfrigération de jusqu'à 700 supermarchés et commerces indépendants, les maintenant en dégivrage continu pendant environ six heures. Intermarché a déclaré que 150 à 200 de ses magasins avaient été touchés, Coopérative U environ 80, Carrefour environ 80 et Monoprix environ 30, et le parquet de Paris a indiqué que les dégâts comprenaient des incendies. Le directeur général d'Intermarché a estimé les pertes en France à des dizaines de millions d'euros en une seule journée. Le 12 octobre, CERT-FR, l'équipe gouvernementale française de réponse aux urgences informatiques, a demandé à tous les exploitants des familles de contrôleurs concernées de les déconnecter d'internet ou de filtrer l'accès. Danfoss, le fabricant danois des contrôleurs compromis, a envoyé sa propre alerte à ses clients le 13 octobre. Trois semaines plus tard, des contrôleurs toujours accessibles depuis internet ont été attaqués dans au moins six autres pays, et un porte-parole de Danfoss aux Pays-Bas a déclaré que les attaques auraient pu être évitées si les magasins avaient suivi cet avertissement.

Le mécanisme est presque embarrassant de simplicité, et c'est pourquoi il continue de fonctionner. Chaque magasin touché gère sa réfrigération depuis un seul contrôleur central : un panneau qui conserve les consignes de température de chaque vitrine et chambre froide, programme les cycles de dégivrage et offre une interface web permettant aux prestataires de régler l'équipement à distance. Le dégivrage chauffe normalement les serpentins de l'évaporateur pendant une courte période programmée pour éliminer le givre. Les intrus l'ont allumé et laissé en marche, avec un réglage allant jusqu'à 50 °C, de sorte que les résistances ont réchauffé les meubles qu'elles devaient protéger. Selon un analyste de la société française de sécurité Sekoia, les attaquants semblent n'avoir utilisé aucun code malveillant sur les contrôleurs eux-mêmes, ce qui laisse moins de traces aux enquêteurs. Les modèles cités par Danfoss, l'AK-SM 800 et l'AK-SC 355, sont les deux mêmes que ceux frappés en France. Danfoss a déclaré l'AK-SM 800 en fin de vie en mai 2021 et a retiré progressivement l'AK-SC 355 en 2016, et aucun des deux n'a reçu de mise à jour de sécurité depuis son retrait. Aux Pays-Bas, Danfoss a indiqué qu'une partie de l'équipement attaqué n'était pas connectée à un réseau protégé et utilisait encore ses mots de passe par défaut.

Ce qui rend la deuxième vague plus difficile à minimiser que la première, c'est la répartition des victimes. Les grandes chaînes ont majoritairement tenu : Carrefour Belgique a indiqué que 15 de ses plus de 700 magasins avaient été touchés et que tous restaient ouverts, et la chaîne suédoise Coop a déclaré que sept de ses 800 magasins avaient subi l'attaque. Les dégâts se sont concentrés là où le système est le plus fragile : magasins franchisés, magasins hors du réseau central d'une enseigne, petites boucheries et commerces de quartier. ICA a indiqué que l'incident avait touché un petit nombre de magasins utilisant un fournisseur externe et connectés en dehors de son réseau central. Les pannes finlandaises concernaient des unités hors de la surveillance centrale de sécurité de la chaîne Kesko. Un installateur belge a déclaré qu'une simple mise à jour logicielle ne suffirait pas à combler la vulnérabilité, car les installations nécessitent des modifications physiques qui coûtent de l'argent. La protection la plus simple, gérer les contrôleurs via une connexion sécurisée, est précisément l'étape que les petits exploitants, chacun avec son propre prestataire et son propre budget, mettent le plus de temps à franchir.

Aucun groupe n'a revendiqué l'une ou l'autre vague, aucune rançon n'a été exigée et aucune autorité n'a attribué les attaques. Cette absence fait elle-même partie de l'histoire : des chercheurs de SentinelOne ont noté que les attaques de ce type sont généralement liées à l'extorsion, à des motifs politiques ou à des opérations étatiques, et l'absence d'exigences financières pointe vers le sabotage. Christophe Hansen, commissaire européen à l'Agriculture et à l'Alimentation, a qualifié la deuxième vague de tentative délibérée de perturber l'approvisionnement alimentaire de l'UE et de saper la confiance du public, tout en ajoutant que la sécurité alimentaire européenne n'est pas menacée pour le moment. Le parquet fédéral belge a ouvert une enquête pénale. La réassurance sur la sécurité alimentaire est vraie à l'échelle continentale et presque hors de propos à l'échelle qui compte : un commerçant au sud d'Anvers a trouvé ses réfrigérateurs à 18 °C et a appelé la police, et un exploitant Delhaize a estimé son préjudice à pas moins de 100 000 euros, hors manque à gagner.

Je lis ceci comme une histoire d'infrastructure cachée en pleine lumière. La chaîne du froid est l'un de ces systèmes dont tout le monde dépend et auxquels personne ne pense jusqu'à ce qu'ils tombent en panne, et il s'avère qu'elle fonctionne, dans des milliers de magasins, sur du matériel retiré du marché dont l'interface web est exposée à l'internet ouvert. La solution n'a rien d'exotique : déconnecter les contrôleurs, les placer derrière un pare-feu ou un VPN, remplacer du matériel que le fabricant a cessé de maintenir il y a des années. Mais les solutions ennuyeuses exigent que quelqu'un les paie et que quelqu'un en soit responsable, et dans un commerce de détail franchisé et fragmenté, ce quelqu'un n'est souvent personne en particulier. La première vague était un avertissement. La deuxième, arrivée trois semaines après un avertissement public d'une équipe gouvernementale de réponse, est une preuve de la manière dont les avertissements circulent — ou non — dans un système sans propriétaire unique. Ma propre attente est que ce n'est pas terminé : avec des milliers de systèmes exposés encore visibles depuis internet et une méthode qui a déjà fonctionné deux fois, je m'attendrais à au moins une nouvelle vague publiquement signalée avant la fin mars 2027, à moins que la deuxième vague ne force enfin les déconnexions que la première n'avait pas obtenues.