Des mots de passe faibles ont suffi à pirater les frigos des supermarchés, selon l'ANSSI

« Des défauts de sécurisation élémentaire. » C'est ainsi que Vincent Strubel, directeur général de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), a résumé devant les sénateurs l'attaque qui a déréglé à la mi-octobre les frigos de centaines de supermarchés, rapporte Public Sénat.

L'audition s'est tenue le 21 octobre devant la commission des Affaires étrangères du Sénat. Le patron de l'ANSSI y a décrit des équipements frigorifiques exposés directement sur Internet, administrés sans protection particulière et protégés par des mots de passe faibles. L'attaque avait touché des magasins Intermarché, Super U et Leclerc, plus de 700 selon Public Sénat. Les températures étaient montées dans les vitrines et les congélateurs. Dans certains cas, plusieurs centaines de milliers d'euros de marchandises ont été jetées.

Pourquoi l'ANSSI écarte la piste des failles connues

Depuis l'attaque, plusieurs hypothèses circulaient. Les automates de supervision du fabricant danois Danfoss, présents dans les magasins touchés, avaient fait l'objet de travaux de chercheurs ces deux dernières années, et le CERT-FR avait publié une alerte le 12 octobre. Vincent Strubel écarte ces « analyses tierces » qui évoquaient l'exploitation de vulnérabilités publiées. Selon lui, il s'agit de « vulnérabilités assez classiques qui font l'objet de recommandations ».

Ces recommandations ne datent pas d'hier. L'ANSSI publie depuis 2014 un guide de sécurisation des systèmes industriels, dont la première règle est de ne pas les exposer directement sur Internet. Ces conseils « ne sont pas systématiquement respectés », a constaté Vincent Strubel.

Les frigos à vaccins dans le viseur

Le directeur de l'ANSSI a élargi le propos. Des équipements comparables servent à conserver des vaccins, des laboratoires de recherche jusqu'aux pharmacies. Il a indiqué qu'un travail rapide avait été mené avec les acteurs de la santé pour vérifier la protection de ces frigos.

Lors de la même audition, Nicolas Roche, secrétaire général de la défense et de la sécurité nationale, a signalé la multiplication des attaques hybrides ces derniers mois, mêlant cyberattaques, drones et espionnage. Il a aussi décrit des menaces très peu sophistiquées mais au fort retentissement politique, le fait d'une petite délinquance jeune et locale. Vincent Strubel a qualifié le phénomène d'« endémique », évoquant de jeunes Français motivés par la réputation plus que par l'argent. Le compte rendu de Public Sénat n'indique pas qui est derrière l'attaque des frigos.

Les bons réflexes pour vos équipements pilotés à distance

Pas de technique de pointe ici : un automate joignable depuis Internet et un mot de passe faible auraient suffi. Les mesures à prendre sont donc à la portée de tout gestionnaire de site :

• vérifier qu'aucun automate de froid, de chauffage ou de ventilation n'est joignable directement depuis Internet : c'est la première recommandation de l'ANSSI ;
• faire passer les accès à distance par un VPN ou une passerelle contrôlée, plutôt que par une interface ouverte ;
• remplacer les mots de passe par défaut ou trop simples, y compris ceux des prestataires de maintenance ;
• demander à votre frigoriste la liste des personnes qui peuvent se connecter à vos installations, et depuis où ;
• appliquer les mises à jour du fabricant.

Deux questions restent en suspens : qui a mené l'attaque, et qui paiera les marchandises perdues. Ni l'une ni l'autre n'a encore reçu de réponse publique.