À retenir :
- Une deuxième cyberattaque a touché les systèmes de réfrigération de supermarchés dans au moins six pays européens.
- En Belgique, environ 75 magasins ont été concernés, notamment des enseignes Delhaize, Carrefour et Intermarché.
- Les assaillants ont activé le dégivrage ou fortement augmenté la température des équipements, rendant des stocks impropres à la vente.
- Le mode opératoire est identique à celui observé les 11 et 12 octobre dans près de 700 supermarchés français.
- L’agence française de cybersécurité alerte sur les contrôleurs à distance exposés à internet.
Six pays européens concernés
Les attaques ont été signalées le 2 novembre. D’après Euronews, les incidents survenus en Belgique se sont produits entre le dimanche soir 1er novembre et le lundi matin 2 novembre. Environ 75 magasins ont été touchés, dont :
- une quarantaine de magasins Delhaize Proxy,
- 15 magasins Carrefour Shop & Go,
- 15 magasins Intermarché,
- cinq points de vente Spar installés dans des stations-service Q8,
- le magasin IKEA de Mons.
Carrefour Belgique a indiqué que 15 de ses 700 magasins étaient concernés. Aucun hypermarché ne figurait parmi eux et l’enseigne estime que l’impact est « très limité ». Tous les magasins sont restés ouverts. Le parquet fédéral belge a lancé une enquête.
En Suède, des magasins ICA et Coop ont été visés : leurs réfrigérateurs et congélateurs auraient été réglés à 50 °C. En Irlande, Musgrave a recensé 13 magasins SuperValu touchés. Des incidents ont également été signalés aux Pays-Bas, en Finlande et en Estonie. Au Luxembourg, Delhaize a suspendu par précaution ses systèmes de commande.
Un scénario identique à celui observé en France
La première vague avait touché la France dans la nuit du 11 au 12 octobre. Selon Roland Lescure, ministre des Finances, près de 700 des 10 000 supermarchés du pays avaient été affectés. Des magasins Intermarché, Netto, Coopérative U, Carrefour et Monoprix étaient notamment concernés, selon l’Associated Press. Le ministre avait alors estimé que l’attaque « touchait au cœur de notre sécurité alimentaire ».
L’INCIBE-CERT, l’institut national espagnol de cybersécurité, rapporte que certains équipements français avaient atteint 50 °C pendant plusieurs heures. Les magasins ont dû jeter des produits frais et surgelés. Des départs de feu ont également été constatés sur certains sites, tandis que les pertes se sont élevées à plusieurs dizaines de millions d’euros.
Lors des deux vagues d’attaques, les assaillants ont pris le contrôle des systèmes de gestion à distance des installations frigorifiques. Stephan Moelans, directeur général de l’entreprise belge de réfrigération Sabcobel, explique que les évaporateurs sont passés en mode de dégivrage, comme en France. Selon lui, une simple mise à jour logicielle ne suffira pas : des modifications physiques des installations seront également nécessaires.
Des équipements anciens exposés à internet
L’alerte du CERT-FR cite notamment, parmi les équipements concernés, des contrôleurs à distance de Danfoss, Copeland et Dixell. Selon l’agence, un appareil en fin de vie, exposé à internet et privé de correctifs de sécurité, présente un risque de compromission « très élevé ». Elle rappelle également qu’une interface d’administration accessible directement en ligne ne respecte pas les bonnes pratiques de sécurité.
Danfoss précise que la plupart des systèmes touchés sont d’anciens produits qui ne bénéficient plus de mises à jour de sécurité. Le fabricant recommande de maintenir les équipements à jour et de les protéger derrière un pare-feu.
Un avertissement pour la chaîne du froid
Les supermarchés ont été les premières cibles, mais des équipements similaires, pilotés à distance, sont également utilisés dans les entrepôts frigorifiques, les centres de distribution et d’autres sites logistiques où la température doit être contrôlée. Le CERT-FR recommande aux exploitants de :
- supprimer l’accès direct à internet des contrôleurs frigorifiques,
- vérifier l’ensemble de la configuration, notamment les calendriers de dégivrage,
- réserver les accès à distance à un VPN sécurisé ou à un réseau protégé,
- mettre à jour les micrologiciels et remplacer les mots de passe par défaut.
Le CERT-FR souligne également qu’une réinitialisation aux paramètres d’usine ne suffit pas. L’équipement resterait vulnérable et pourrait être compromis une nouvelle fois.
Ces incidents s’inscrivent dans une tendance plus large. Selon l’agence européenne de cybersécurité ENISA, 47 % des organisations classent les attaques visant la chaîne d’approvisionnement parmi leurs principales cybermenaces, juste derrière les rançongiciels, cités par 55 % d’entre elles. De nombreux responsables logistiques s’attendent à subir des cyberattaques, tout en réduisant encore leurs budgets de sécurité.
Aucun groupe n’a revendiqué l’une ou l’autre de ces attaques. Les autorités n’écartent pour l’instant aucune hypothèse.
