L'Anssi a écarté la piste d'une attaque sophistiquée contre les installations frigorifiques de la grande distribution. Les pirates ont profité d'équipements exposés sur Internet et protégés par des mots de passe faibles.

Dix jours après la cyberattaque qui a touché les chambres froides de centaines de supermarchés français, l’Anssi livre ses premières conclusions. Entendu le mercredi 21 octobre par la commission des Affaires étrangères et de la Défense du Sénat, Vincent Strubel, directeur général de l’agence, a expliqué que l’opération ne reposait pas sur une technique avancée mais sur l’absence de protections de base dans les magasins. 

Dans la nuit du 11 au 12 octobre, au moins 300 magasins Intermarché et Netto, moins d’une centaine de points de vente Coopérative U, plusieurs E.Leclerc et une trentaine de Monoprix ont été visés. Les attaquants s’en sont pris aux systèmes de régulation qui surveillent les températures, gèrent le dégivrage et permettent de piloter les installations à distance pour en simplifier l’exploitation et la maintenance. En faisant monter la température, ils ont contraint les enseignes à détruire d’importants stocks de produits frais. Le parquet de Paris s’est saisi de l’affaire et a ouvert une enquête. Dès les premières heures, Vincent Strubel avait désigné les contrôleurs de froid Danfoss des séries AK-SM et AK-SC, en appelant à les déconnecter d’Internet ou, à défaut, à appliquer « une politique de filtrage réseau très restrictive ».

Ni zero-day ni attaque sophistiquée

Devant les sénateurs, le patron de l’Anssi a balayé l’hypothèse, avancée par certains analystes, d’une exploitation de vulnérabilités récemment documentées par des chercheurs. Selon lui, ces systèmes industriels étaient joignables directement depuis Internet, sans pare-feu ni segmentation réseau, et leur interface d’administration n’était protégée que par des mots de passe faibles.  Le constat est d’autant plus préoccupant que les recommandations existent depuis longtemps. L’Anssi publie depuis 2014 un guide de sécurisation des systèmes industriels, dont la règle fondamentale consiste précisément à ne jamais exposer ces équipements directement sur Internet. Pour le cabinet Synacktiv, ces attaques révèlent une réalité encore largement sous-estimée. 

L’audition a aussi mis en lumière les limites du cadre actuel. L’Anssi peut alerter et conseiller, mais elle ne dispose d’aucun moyen d’imposer à la grande distribution des règles de raccordement de ses installations frigorifiques. La sécurisation de ces équipements reste donc à la main des enseignes et de leurs prestataires, souvent tentés de privilégier la commodité de la maintenance à distance. 

Le secteur de la santé passé au crible

L’incident a également suscité des inquiétudes au-delà du commerce. Vincent Strubel a souligné que des installations similaires existaient dans plein d’autres secteurs, et notamment dans le secteur de la santé, depuis les laboratoires de recherche jusqu’aux pharmacies qui stockent les vaccins. L’Anssi a donc mené une vérification rapide avec les acteurs de la santé afin de sécuriser ces installations avant toute tentative de reproduction de l’attaque.