Des hackers ont pu prendre le contrôle des installations frigorifiques de supermarchés belges en exploitant une faille dans des systèmes de refroidissement obsolètes, qui ne reçoivent plus aucune mise à jour depuis 2016.
La récente cyberattaque contre des supermarchés en Belgique et dans d’autres pays européens, qui a permis de prendre le contrôle des systèmes de refroidissement, met cruellement à nu la vulnérabilité de ces systèmes. Les dégâts sont en cours d’évaluation et l’indignation est grande. Pourtant, une telle attaque n’aurait pas dû surprendre. Il y a à peine trois semaines, le même incident s’est produit en France.
Comment cela a-t-il pu se reproduire en si peu de temps, qui sont les auteurs et comment aurait-on pu l’éviter ? Nous en discutons avec Pieter-Paulus Vertongen, CEO chez Aaltra, développeur de logiciels pour du matériel connecté, et Erik Van Buggenhout, expert en cybersécurité chez NVISO.
Congélateurs décongelés
Dans la nuit de dimanche 1er à lundi 2 novembre, des cybercriminels ont attaqué les systèmes de refroidissement de supermarchés belges. L’ampleur s’est vite révélée plus importante que prévu. Des incidents similaires se sont produits notamment en Italie, en Finlande, en Estonie, aux Pays-Bas et au Luxembourg.
Les évaporateurs ont été réglés en mode dégivrage, ce qui a réchauffé les éléments de refroidissement. En Belgique, plus de 70 supermarchés ont été touchés, notamment des magasins Delhaize, Spar et Carrefour. Les supermarchés ont vidé leurs rayons réfrigérés et ont dû jeter d’énormes quantités de nourriture.
Copie de la France
« Comment peut-on voir que des millions d’euros de pertes alimentaires s’accumulent dans un pays voisin, sans se demander si cela pourrait aussi nous arriver ? », s’interroge Vertongen. À peine trois semaines plus tôt, la même technique d’attaque avait été utilisée contre, entre autres, les supermarchés Intermarché en France, où elle avait causé des millions d’euros de dégâts.
Quelques jours après les cyberattaques contre les systèmes de refroidissement de chaînes de supermarchés, la France signale à nouveau un incident similaire. Cette fois, il touche les systèmes de refroidissement de banques de sang. Au moment de la rédaction, rien n’a heureusement été perdu.
Sabotage russe ?
Ces cyberattaques n’offraient guère de gain commercial, ce qui n’est pas ce à quoi les hackers nous ont habitués. « Les cybercriminels avec lesquels nous avons le plus d’expérience sont ceux qui veulent obtenir de l’argent », explique Van Buggenhout. « Ici, c’est moins le cas. On ne gagne pas d’argent en manipulant des frigos. »
Qui se cache alors derrière de telles cyberattaques ? Van Buggenhout décrit deux types d’attaquants possibles. « Ce sont soit des personnes mécontentes d’une certaine réalité de la société et qui veulent l’exprimer, soit des acteurs soutenus par d’autres États qui mènent une guerre hybride et cherchent à repérer les points faibles de la société. »
Un sabotage russe est ainsi également examiné comme piste possible, mais n’a pas encore été formellement confirmé. « Que la Russie veuille montrer à quel point nous sommes vulnérables en Europe est tout à fait plausible », déclare Vertongen.
Systèmes obsolètes
Comment les hackers présumés ont-ils pu s’introduire dans les systèmes de refroidissement ? Les installations frigorifiques touchées étaient directement connectées à internet, sans VPN entre les deux. Selon Vertongen, il s’agit de vieux systèmes pour lesquels le fabricant n’assure plus ni support ni mises à jour de sécurité depuis 2016. En modifiant un paramètre sur la page publiquement accessible d’une telle installation, un attaquant pouvait saisir un mot de passe du jour. « C’était littéralement le jour, le mois, le jour de la semaine et deux autres paramètres », dit Vertongen. « Avec cela, vous étiez dedans et vous pouviez tout faire en tant qu’administrateur. »
Cette porte dérobée avait été intégrée par le fabricant pour ses techniciens de service, afin qu’ils puissent se connecter rapidement sans le mot de passe du client. Vertongen parle d’un « hack sans grand niveau » : quiconque connaissait l’appareil et la construction du code journalier obtenait un accès complet.
Ce n’est pas parce que quelque chose fonctionne que cela fonctionne bien et en toute sécurité.
Pieter-Paulus Vertongen, CEO chez Aaltra
Les mises à jour peuvent résoudre ce genre de problème. Il compare la situation des systèmes de refroidissement aux célèbres mises à jour de Windows. Tout comme Microsoft envoie des notifications sur votre ordinateur portable pour une nouvelle mise à jour logicielle, il en va de même pour le logiciel de ces installations frigorifiques. Si vous n’appliquez pas la dernière mise à jour de sécurité, votre appareil n’est pas protégé. « C’est comme si vous naviguiez aujourd’hui sur internet avec Windows 95 et Internet Explorer. Ce n’est pas parce que quelque chose fonctionne que cela fonctionne bien et en toute sécurité. »
Selon Van Buggenhout, il n’est pas surprenant que des cybercriminels ciblent les logiciels obsolètes d’installations frigorifiques. Un de ses collègues avait déjà écrit en 2016 un article sur les frigos qui peuvent devenir une cyberarme, parce qu’ils étaient déjà accessibles depuis internet à l’époque.
« L’IA, un accélérateur d’incendie »
Bien que ce hack n’ait pas exigé de connaissances informatiques poussées de la part des hackers, l’IA peut bel et bien y jouer un rôle. Auparavant, les criminels mettaient beaucoup de temps à trouver une faille et à l’exploiter à grande échelle. « Pour eux aussi, il doit y avoir un retour sur investissement. Si cela demande beaucoup d’efforts, ils laissent souvent tomber. »
Avec l’IA, cette recherche et cette exploitation vont beaucoup plus vite. Vertongen le constate lui-même dans la pratique. « Nous avons un canal Slack où arrivent toutes les vulnérabilités du matériel que nous utilisons. Avant, c’était une fois par semaine, maintenant cinq, six, sept fois par jour. »
La réponse à l’IA, c’est plus d’IA.
Erik Van Buggenhout, expert en cybersécurité chez NVISO
« L’IA, il faut la combattre avec l’IA », dit Vertongen. « Si vous le faites avec des humains, vous perdez la bataille. » Van Buggenhout partage ce raisonnement : « La réponse à l’IA, c’est plus d’IA. Ce qu’une organisation ne peut absolument pas faire, c’est ne pas l’utiliser. Don’t bring a knife to a gunfight », dit-il.
Selon Van Buggenhout, il reste néanmoins important de placer les humains au bon endroit : « Nous appelons souvent cela human-led, AI-operated. Les systèmes doivent être conçus de manière à pouvoir exploiter pleinement l’IA, tout en permettant aux humains de conserver la vue d’ensemble et le contrôle. Ce n’est pas simple, mais ce sera l’un des défis intéressants des prochaines années », déclare-t-il.
Facile à éviter
Selon les experts, l’incident aurait pu être facilement évité. Toutes les entreprises, certainement dans certains secteurs, ne disposent pas d’un budget conséquent pour un spécialiste cyber à temps plein. Ils soulignent toutefois que quelques petits ajustements peuvent déjà faire une grande différence.
Déconnecter d’internet une installation mal protégée, ou placer un VPN entre les deux, n’est pas un coût insurmontable. Dans le premier cas, il suffit de débrancher un câble, ce que certains exploitants de magasins ont effectivement fait après le hack en France.
Visibilité
Une première étape importante consiste à savoir de quels systèmes vous disposez et lesquels sont accessibles depuis internet. « Un test d’intrusion annuel ne suffit plus aujourd’hui, il faut cartographier cela en continu », souligne Van Buggenhout.
Un premier contrôle peut se faire gratuitement via Safeonweb du Centre pour la Cybersécurité Belgique (CCB). Vertongen conseille de rendre le moins d’appareils possible accessibles publiquement et d’y placer un VPN. « C’est une solution très bon marché qui permet de conserver les mêmes fonctionnalités. »
Van Buggenhout conseille aussi aux entreprises de prêter attention aux composants gérés par un tiers. « Qui a quelle responsabilité en matière de cybersécurité ? À quelle vitesse les correctifs sont-ils installés ? Est-ce un service supplémentaire que vous devez payer ? »
En outre, une entreprise doit établir un plan de réponse aux incidents et le tester régulièrement par des exercices. « Aujourd’hui, on peut malheureusement partir du principe qu’un incident se produira tôt ou tard. Il est alors important de ne pas devoir improviser et de savoir clairement comment réagir et qui fait quoi. »
Cyber Resilience Act
Les vulnérabilités des logiciels obsolètes constituent une porte d’entrée facile vers vos systèmes, et cela ne se limite pas aux systèmes de refroidissement des supermarchés. Vertongen souligne qu’à domicile aussi, de nombreux appareils vulnérables peuvent être connectés à internet. Il pense surtout aux anciens systèmes domotiques qui permettent aux gens de contrôler leur maison à distance.
« Vous avez un système domotique vieux de dix ans qui vous permet d’ouvrir votre porte à distance, et vous ne l’avez jamais mis à jour vous-même ou jamais fait venir un électricien pour installer la dernière version ? Alors il faut vraiment vérifier. » Il en va de même pour les webcams et les sonnettes connectées, souvent accessibles publiquement parce que les gens veulent voir qui sonne. « C’est pratique, mais si vous le faites sans connaissances, il faut faire attention. »
Le Cyber Resilience Act (CRA) doit changer cela. Les fabricants devront alors assurer le support du logiciel aussi longtemps que l’appareil est utilisé. « Ce refroidissement et ces contrôles fonctionnent tous, ils sont là depuis vingt ans. Mais le firmware n’a plus été mis à jour depuis dix ans. Le CRA est une bonne solution à cela, sauf qu’il n’entre en vigueur qu’en décembre 2027 », conclut Vertongen.