Conservation et anti-gaspillage
Un réfrigérateur réglable depuis un site web : comment le pilotage à distance expose le froid des supermarchés
Les boîtiers qui permettent de surveiller et de régler le froid à distance peuvent aussi offrir un accès aux attaquants. Ces incidents montrent pourquoi les mises à jour, la maintenance et les alarmes comptent autant que la protection des ordinateurs.
En bref
Les réfrigérateurs de supermarché deviennent des cibles lorsque leur commande à distance est accessible sur internet et insuffisamment protégée, notamment faute de mises à jour.
L'essentiel
- Des boîtiers connectés permettent de modifier les températures sans être sur place.
- Certaines failles exploitées disposaient déjà de correctifs non installés.
- Une intrusion numérique peut entraîner des pertes de marchandises bien réelles.
- La surveillance et les alarmes peuvent limiter les conséquences d’une attaque.
La porte d’entrée se trouve dans la commande du froid
Pour comprendre ces attaques, il faut regarder au-delà des portes vitrées des rayons. Le froid est piloté par des boîtiers électroniques reliés à internet. Ils servent à surveiller les installations et à ajuster leur température sans déplacement. Des contrôleurs Dixell, présents dans certains magasins visés, assurent ainsi le réglage à distance des équipements frigorifiques, y compris des chambres froides.
Cet accès répond à un besoin : assurer le suivi technique même pendant la fermeture du magasin. Damien Gbiorczyk explique sur BFMTV que les responsables peuvent intervenir depuis une interface web, notamment la nuit. Mais une commande accessible à distance constitue aussi un accès potentiel pour un attaquant. Le même outil qui facilite la maintenance peut alors servir à dérégler l’installation.
Des objets moins suivis que les systèmes informatiques classiques
Le problème ne tient donc pas au seul fait de connecter un appareil. Il concerne aussi la manière dont cette connexion est protégée et entretenue. Selon Damien Gbiorczyk, ces équipements font l’objet de moins de surveillance et de mises à jour que les systèmes informatiques traditionnels, tout en étant facilement accessibles. Ils deviennent ainsi une porte d’entrée particulièrement commode.
Mohammed Boumediane décrit sur BFMTV un vieillissement technique : des systèmes conçus auparavant restent en service sans avoir été suffisamment actualisés. Il souligne également que la connectivité a parfois été ajoutée sans accorder assez d’attention à sa protection. Un appareil peut continuer à remplir sa fonction frigorifique tout en accumulant des faiblesses numériques. Son bon fonctionnement apparent ne garantit donc pas la sécurité de son accès distant.
Le cas des correctifs est révélateur. BFMTV rapporte que des mises à jour réparant les failles utilisées par les attaquants existaient, mais que certains supermarchés ne les avaient pas installées. La difficulté ne se limite donc pas à découvrir une vulnérabilité : encore faut-il appliquer sa correction aux équipements concernés.
Une action numérique peut détruire un stock physique
Pourquoi viser un réfrigérateur plutôt qu’un ordinateur ? Parce que sa commande agit directement sur les conditions de conservation. Une modification du réglage peut avoir des conséquences sur les marchandises, sans qu’il soit nécessaire de déplacer quoi que ce soit dans le magasin. BFMTV rapporte des tonnes d’aliments perdus et des dommages évalués en millions d’euros après les attaques.
Le froid reste une condition matérielle de conservation, qu’il s’agisse d’un équipement commercial ou des légumes conservés au réfrigérateur. La particularité du système connecté est de rendre son réglage accessible à distance. La protection des marchandises dépend alors aussi de la protection de cette commande.
Le numérique permet par ailleurs de répéter des opérations à grande échelle, comme le souligne Ivan Rogissart sur BFMTV. Ce qui rend la gestion à distance efficace peut aussi faciliter la répétition d’une attaque. Les incidents touchant plusieurs pays illustrent ainsi un risque qui dépasse le dysfonctionnement isolé d’un appareil.
Les prestataires et les alarmes font partie de la protection
La sécurité du froid ne s’arrête pas aux installations du magasin. L’Établissement français du sang a été touché par une attaque passant par son prestataire chargé du froid. Cet exemple montre que la protection d’un équipement dépend également des intervenants qui en assurent le fonctionnement, et pas uniquement de l’établissement qui l’utilise.
L’EFS a indiqué qu’il n’y avait eu aucune conséquence sanitaire. Le ministère de la Santé a attribué la préservation des stocks à la surveillance, aux alarmes et aux précautions déclenchées. Empêcher l’intrusion et limiter ses effets sont deux tâches complémentaires. Même lorsqu’une attaque atteint une installation, la détection et la réaction peuvent encore protéger son contenu.
Une réglementation ne remplace pas l’entretien des équipements
Les textes européens, dont NIS 2 et le règlement sur la cyberrésilience, renforcent le cadre de la cybersécurité. Mais Ivan Rogissart rappelle sur BFMTV l’écart possible entre une obligation écrite et sa mise en œuvre. Pour les infrastructures commerciales, l’enjeu reste très matériel : maintenir les systèmes à jour, protéger leurs accès et disposer d’une surveillance capable de signaler un dérèglement.
Questions fréquentes
Les attaquants doivent-ils entrer dans le supermarché ?
Non : les commandes connectées permettent des interventions à distance. Leur exposition sur internet peut offrir un accès aux attaquants.
Une mise à jour pouvait-elle corriger les failles exploitées ?
Oui. Selon BFMTV, des correctifs existaient, mais certains magasins ne les avaient pas appliqués.
Une attaque entraîne-t-elle forcément la perte des stocks ?
Non. À l’EFS, la surveillance, les alarmes et les mesures de précaution ont permis de préserver les stocks, sans impact sanitaire.
